SQL 注入是怎么发生的，网站怎么防？

SQL 注入是把用户输入当成 SQL 语句的一部分执行，根源是程序拼接字符串生成查询，没有对输入做参数化处理。

典型场景：登录框、搜索框、筛选参数。攻击者在输入里构造特殊字符，改变原语句的逻辑，从而绕过验证或读取其他表的数据。

防护措施按有效性排序：使用参数化查询或预编译语句，这是根本手段；对输入做类型和长度校验；数据库账号按按需授权分配；关闭详细的错误提示，避免暴露表结构。

补充手段：部署 Web 应用防火墙拦截常见攻击特征；定期用扫描工具自查；关注程序框架的安全更新。WAF 只能减少尝试，不能替代代码层的参数化改造。