sql注入：是将sql代码添加到输入参数中去，传递到sql服务器解析并执行的一种攻击手段
如何寻找sql注入漏洞：
借助逻辑推理查找sql漏洞
1、识别web输入点：get、post、http
2、那些请求会触发异常：对输入点加各种类型字符看异常：get直接改链接、post提交加特殊字符
3、检测服务器中响应的异常：看500状态码和302异常产生跳转，或者差不到404错误
sql注入攻击
1：数字注入 id=-1 OR 1=1
2:字符串攻击 '# 或 '--空格 （mysql的注释）
预防sql注入：
严格检查输入变量的类型和格式（正则）
过滤和转义特殊字符 addslashes(对不合法提交内容进行转义)
利用mysql的预编译机制（占位符?）
