SQL注入（SQL Injection）是一种常见的网络安全漏洞，它允许攻击者通过在应用程序中插入恶意SQL代码，从而非法访问、修改或破坏数据库中的数据。下面是SQL注入的定义以及如何防御它：
SQL注入定义：
SQL注入通常发生在应用程序将用户输入直接拼接到SQL查询语句中时。攻击者利用输入的恶意代码，来改变原有的查询意图，执行非法操作。例如，一个简单的登录验证查询如下：
```sql
SELECT FROM users WHERE username = '" + username + "' AND password = '" + password + "'
```
如果用户输入的`username`或`password`字段被恶意修改，攻击者可能通过构造特定的输入来绕过验证，执行其他SQL语句。
防御SQL注入的方法：
1. 使用参数化查询（Prepared Statements）：
使用参数化查询可以确保输入数据被当作数据而不是SQL代码来处理。例如，在Java中可以使用`PreparedStatement`：
```java
String query = "SELECT FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = connection.prepareStatement(query);
stmt.setString(1, username);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();
```
2. 使用ORM（对象关系映射）框架：
3. 输入验证：
对所有用户输入进行严格的验证，确保它们符合预期的格式。例如，限制输入长度、使用正则表达式匹配等。
4. 最小权限原则：
为数据库用户和应用程序设置最小权限，只授予执行必要操作所需的权限。
5. 错误处理：
适当处理错误信息，避免向用户显示敏感信息，如数据库结构、SQL语句等。
6. 使用Web应用防火墙（WAF）：
WAF可以检测和阻止常见的SQL注入攻击。
7. 代码审查和测试：
定期进行代码审查和安全测试，以发现并修复潜在的安全漏洞。
通过采取上述措施，可以显著降低SQL注入攻击的风险，提高应用程序的安全性。
