mssql转义之单引号：一次避免语句毛病的学习

SQL注入（SQL Injections）是最多见的网络安全攻击之一，也是最具危险性的攻击情势之一。它引入歹意SQL片断来操纵数据库系统，以此发起侵入，它以歹意SQL代码注射到某个计算机上的一种攻击。例如，有的程序可使用SQL语句，参数如以下所示：

“`sql

SELECT *

FROM users

WHERE username = ‘user.name’;

SQL注入产生在攻击者将歹意内容放入查询语句参数中，改变原有SQL语句查询内容，从而致使不可预感的结果，从而造成危害。

SQL转义（SQL Escaping）是为了避免SQL注入而实行的一种方法。它通过添加参数替换符（如“\”字符或“%”字符），使程序不将参数作为SQL语句来处理，而是被当作字面字符串。这样，攻击者就没法添加歹意代码，由此到达避免SQL注入的目的。

MSSQL中的转义字符是单引号（‘），单引号具有特殊的意义，可以避免SQL语句毛病出现。MSSQL中的转义可以通过将单引号替换为双引号（“）来实现。下面的例子可以看出单引号在MSSQL中的转义作用：

```sql
SELECT * 
FROM users 
WHERE username = 'goodUser' or 1=1;

上面这条SQL语句会将所有用户的信息抓取出来，如果将其转义后，显示以下：

“`sql

SELECT *

FROM users

WHERE username = ”goodUser” or 1=1;

这样一来，即便用户名字段为goodUser，SQL语句也不会把所有用户信息抓取出来，而只有用户名字段是goodUser的用户才会被抓取出来。

以上就是MSSQL转义之单引号的用法，它可以极大的提高SQL语句的安全性，避免SQL注入攻击的产生。另外，MSSQL与存储进程结合也是常常使用的，存储进程中可使用单引号进行参数转义，以此来避免攻击。