本文目录一览：
- 1、什么是MySQL注入
- 2、怎么在mysql中放入json数据
- 3、避免mysql注入应该避免有哪些特殊字符
MySQL SQL 注入SQL注入可能是目前互联网上存在的最丰富的编程缺陷 。这是未经授权的人可以访问各种关键和私人数据的漏洞 。SQL注入不是Web或数据库服务器中的缺陷 ， 而是由于编程实践较差且缺乏经验而导致的 。
我在这边先给它来一个简单的定义：sql注入，简单来说就是用户在前端web页面输入恶意的sql语句用来欺骗后端服务器去执行恶意的sql代码，从而导致数据库数据泄露或者遭受攻击 。
SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令 。
在MySQL和SQLServer中 ， SQL注入的原理是相同的 ， 都是利用用户输入的数据来构造恶意SQL语句 ， 从而实现对数据库的非法操作 。但是，由于两种数据库的语法和特性不同，导致在防御SQL注入方面有所不同 。
堆叠注入就是多条语句一同执行 。原理就是mysql_multi_query（） 支持多条sql语句同时执行，用；分隔 ， 成堆的执行sql语句 。比如 在权限足够的情况下甚至可以对数据库进行增删改查 。但是堆叠注入的限制是很大的 。
怎么在mysql中放入json数据mysql select json_keys（@ytt，$.name[0]）；+---+| json_keys（@ytt，$.name[0]） |+---+| [a，b] |+---+1 row in set （0.00 sec）我们使用MySQL 0 的JSON_TABLE 来转换 @ytt 。
【mysql注入攻击原理 mysql注入思路】使用直接插入的方法时：使用 JSON_OBJECT 时 案例 因为 $[1] 和 $[2] 计算为非标量值，所以它们可以用作选择嵌套值的更具体的路径表达式的基础 。
在MySQL中，JSON值被写为字符串 。MySQL解析在需要JSON值的上下文中使用的任何字符串，如果它作为JSON无效则会产生错误 。JSON_ARRAY 生成json数组 JSON_ARRAY（val1 ， val2 ， val..）生成一个包含指定元素的json数组 。
直接varchar或者text之类的类型即可插入 。在Mysql7或以上可以支持JSON数据类型 。其他的数据库你可以参考他的不同版本，考虑是否支持JSON数据类型，如果不支持就用字符串类型 。但是要考虑长度 。
JSON的格式非常简单：名称/键值 。之前MySQL版本里面要实现这样的存储，要么用VARCHAR要么用TEXT大文本 。MySQL7发布后，专门设计了JSON数据类型以及关于这种类型的检索以及其他函数解析 。我们先看看MySQL老版本的JSON存取 。
mysql插入json自动转义方法，通过json_encode后的数据写入Mysql数据库时，mysql对会json_encode值里面有中文的unicode反斜杠进行转义，这是在数据库层的转义 。
避免mysql注入应该避免有哪些特殊字符1、特殊字符有：SQL中通配符的使用 SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令 。
2、不要随意开启生产环境中Webserver的错误显示 。永远不要信任来自用户端的变量输入，有固定格式的变量一定要严格检查对应的格式，没有固定格式的变量需要对引号等特殊字符进行必要的过滤转义 。
3、不要把机密信息直接存放，加密或者hash掉密码和敏感的信息 。
4、而Statement则是直接简单粗暴地通过人工的字符串拼接的方式去写sql，那这样就很容易被sql注入 。
5、如果sql语句中存在关键字，可以用反勾号（Esc下面的那个键）做转义；` 是 MySQL 的转义符，避免和 mysql 的本身的关键字冲突 ， 只要你不在列名、表名中使用 mysql 的保留字或中文 ， 就不需要转义 。
6、对特殊的字符进行转义 数字型注入可以通过检查数据类型防止，但是字符型不可以，那么怎么办呢，最好的办法就是对特殊的字符进行转义了 。比如在MySQL中我们可以对 进行转义，这样就防止了一些恶意攻击者来闭合语句 。
