MySQL触发器中SQL注入防护

MySQL触发器本身并不能直接防止SQL注入攻击，但你可以通过在触发器中使用预处理语句（prepared statements）来降低SQL注入的风险。预处理语句是一种将参数与SQL查询分开的方法，它可以确保参数不会被解释为SQL代码的一部分。

在MySQL中，你可以使用PREPARE和EXECUTE语句来创建和使用预处理语句。以下是一个简单的示例，展示了如何在触发器中使用预处理语句：

1. 创建一个表：

CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(255) NOT NULL,
    email VARCHAR(255) NOT NULL UNIQUE
);

2. 创建一个触发器，当插入新用户时，自动检查电子邮件是否已存在：

DELIMITER //
CREATE TRIGGER check_email_before_insert
BEFORE INSERT ON users
FOR EACH ROW
BEGIN
    DECLARE email_exists INT DEFAULT 0;

    SELECT COUNT(*) INTO email_exists
    FROM users
    WHERE email = NEW.email;

    IF email_exists = 0 THEN
        SET NEW.email = CONCAT('check_', NEW.email);
    ELSE
        SIGNAL SQLSTATE '45000'
        SET MESSAGE_TEXT = 'Email already exists';
    END IF;
END;
//
DELIMITER ;

3. 插入新用户：

-- 使用预处理语句插入新用户
PREPARE stmt FROM 'INSERT INTO users (username, email) VALUES (?, ?)';
EXECUTE stmt USING 'JohnDoe', 'john.doe@example.com';
DEALLOCATE PREPARE stmt;

在这个示例中，我们创建了一个触发器check_email_before_insert，它会在插入新用户之前检查电子邮件是否已存在。为了避免SQL注入攻击，我们使用了预处理语句来插入新用户。这样，即使用户尝试在email字段中输入恶意SQL代码，它也只会被当作普通字符串对待，而不会影响查询的结构。