通过输入验证防止SQL注入是确保应用程序安全的重要步骤。以下是一些常见的方法和最佳实践：
1. 使用参数化查询（Prepared Statements）
参数化查询是防止SQL注入的最有效方法之一。它将SQL语句和数据分开处理，确保数据不会被解释为SQL代码。
示例（Java with JDBC）：
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();
2. 使用ORM框架
对象关系映射（ORM）框架如Hibernate、Entity Framework等通常内置了防止SQL注入的功能。
示例（Python with SQLAlchemy）：
from sqlalchemy import create_engine, text
engine = create_engine('sqlite:///example.db')
with engine.connect() as connection:
result = connection.execute(text("SELECT * FROM users WHERE username = :username AND password = :password"),
{"username": username, "password": password})
for row in result:
print(row)
3. 输入验证和清理
对用户输入进行严格的验证和清理，确保输入符合预期的格式和类型。
示例（Python）：
import re
def is_valid_username(username):
return re.match(r'^[a-zA-Z0-9_]{3,20}$', username) is not None
def is_valid_password(password):
return len(password) >= 8
username = input("Username: ")
password = input("Password: ")
if is_valid_username(username) and is_valid_password(password):
# Proceed with database operations
else:
print("Invalid input")
4. 使用存储过程
存储过程可以在数据库层面进行参数化查询，从而防止SQL注入。
示例（SQL Server）：
CREATE PROCEDURE GetUserByUsernameAndPassword
@username NVARCHAR(50),
@password NVARCHAR(50)
AS
BEGIN
SELECT * FROM users WHERE username = @username AND password = @password;
END
5. 最小权限原则
确保数据库连接使用的账户只有执行必要操作的权限，避免使用具有管理员权限的账户。
6. 错误处理
不要在错误消息中泄露数据库结构或敏感信息。使用通用的错误消息来处理所有数据库错误。
7. 定期安全审计
定期对应用程序进行安全审计，检查是否存在潜在的SQL注入漏洞。
通过结合使用这些方法，可以大大降低SQL注入的风险，保护应用程序的安全。
