mysql 模糊查询单引号

基础概念

MySQL中的模糊查询是通过LIKE关键字实现的，它允许你使用通配符来匹配字符串中的数据。单引号在SQL语句中用于定义字符串常量。

相关优势

模糊查询的优势在于它提供了灵活的数据检索方式，尤其是当用户不确定或不记得确切的数据时。例如，在搜索用户输入的部分名称或地址时非常有用。

类型

模糊查询主要有以下几种类型：

1. %通配符：表示任意数量的字符，包括零字符。
2. _通配符：表示单个字符。
3. [字符集]通配符：表示字符集中的任意一个字符。

应用场景

模糊查询常用于以下场景：

• 搜索用户输入的部分关键字。
• 数据库中的全文搜索。
• 根据模式匹配查找记录。

问题及解决方法

问题：为什么在使用模糊查询时，单引号会导致SQL注入？

原因：当用户输入的数据未经验证或转义直接拼接到SQL语句中时，恶意用户可以通过输入特定的字符串（如' OR '1'='1）来改变原始查询的意图，导致SQL注入攻击。

解决方法：

1. 使用参数化查询：这是防止SQL注入的最佳实践。通过将用户输入作为参数传递给查询，而不是直接拼接到SQL语句中，可以有效防止注入攻击。

SELECT * FROM users WHERE name LIKE CONCAT('%', ?, '%');

在Python中，可以使用mysql-connector-python库来实现参数化查询：

import mysql.connector

cnx = mysql.connector.connect(user='user', password='password', host='host', database='database')
cursor = cnx.cursor()

query = "SELECT * FROM users WHERE name LIKE CONCAT('%', %s, '%')"
cursor.execute(query, ('John',))

for row in cursor:
    print(row)

cursor.close()
cnx.close()

1. 手动转义特殊字符：如果必须使用字符串拼接，确保对用户输入进行适当的转义。

SELECT * FROM users WHERE name LIKE CONCAT('%', REPLACE(REPLACE(%s, '\\', '\\\\'), "'", "\\'"), '%');

参考链接

• MySQL LIKE 语句
• 防止SQL注入

通过以上方法，可以有效避免模糊查询中的SQL注入风险，同时保证查询的灵活性和安全性。