SQL Injection

定义 Definition

SQL 注入是一种常见的网络攻击方式：攻击者把恶意的 SQL 代码插入到应用的输入中，诱使后端数据库执行不该执行的查询，从而可能导致绕过登录、读取/篡改/删除数据，甚至进一步控制系统。它通常发生在程序把用户输入直接拼接进 SQL 语句且缺少有效防护时。

发音 Pronunciation

/ˌɛs kjuː ˌɛl ɪnˈdʒɛkʃən/

例句 Examples

The developer fixed the SQL injection by using parameterized queries.
开发者通过使用参数化查询修复了 SQL 注入漏洞。

If an app concatenates user input into a query, a carefully crafted SQL injection can expose sensitive customer data and audit logs.
如果应用把用户输入拼接进查询语句，一个精心构造的 SQL 注入就可能泄露敏感的客户数据和审计日志。

词源 Etymology

“SQL”是 Structured Query Language（结构化查询语言） 的缩写；“injection”意为“注入、插入”。该术语直观描述了攻击方式：把恶意语句“注入”到原本正常的 SQL 查询中。作为安全领域术语，它在 Web 应用普及后变得广为人知，并被收录进常见漏洞分类（如 OWASP Top 10）。

相关词 Related Words

• Authentication
• Breach
• Exploit
• Injection
• Malware
• Payload
• Sanitization
• Vulnerability

文学与作品 Notable Works

• The Web Application Hacker’s Handbook（Dafydd Stuttard, Marcus Pinto）——多处讲解 SQL injection 的原理、测试与防护思路。
• Hacking: The Art of Exploitation（Jon Erickson）——介绍“注入/利用”等攻击概念，可与 SQL injection 的理解相互印证。
• OWASP Testing Guide 与 OWASP Top 10（安全社区文档）——作为行业经典资料，频繁出现并系统化描述 SQL injection 及其风险。