sql注入攻击的防御思路总结

1. PreparedStatement (预编译)： 这是银弹，覆盖 95% 的场景。
2. 白名单 (Whitelist)： 针对动态表名/列名/排序字段。
   • 必须严格校验字符集（[a-zA-Z0-9_]），并排查数据库保留字（如 Order by USER 在 Oracle 会报错）。
3. 过滤+转义 (Escaping)： 下策。
   • 对于字符串，可通过单引号转两个单引号的方式，但注意必须是字符串的场景，前后都必须有单引号包裹， 并且这主要适用于符合 SQL 标准的数据库（如 Oracle, PostgreSQL）。 如果是 MySQL ，默认转义符是反斜杠 \，所以 MySQL 需要把 ' 转义为 \'。这点差异在跨库迁移时很致命。
   • 关于 LIKE：还需额外 转义 % 和 _，这是 是为了防止逻辑攻击（DoS）或非预期的全表扫描。