MyBatis中LIKE配合CONCAT实现安全模糊查询详解
本文详细介绍MyBatis中使用LIKE进行模糊查询的正确姿势。重点解析如何结合数据库函数CONCAT实现参数拼接，避免在XML中直接使用%#{name}%导致的SQL注入风险或语法错误。提供MySQL与Oracle下的具体代码示例及最佳实践，帮助开发者写出更安全、规范的SQL语句。
10-16
5
本文详细介绍MyBatis中使用LIKE进行模糊查询的正确姿势。重点解析如何结合数据库函数CONCAT实现参数拼接，避免在XML中直接使用%#{name}%导致的SQL注入风险或语法错误。提供MySQL与Oracle下的具体代码示例及最佳实践，帮助开发者写出更安全、规范的SQL语句。
本文详解PHP开发中的核心安全原则，强调不信任外部数据。通过正则表达式实现输入清洗，禁用危险的register_globals设置以提升代码可控性。重点讲解如何利用mysql_real_escape_string()或预处理语句有效防止SQL注入攻击，确保Web应用安全。
本文通过六个经典 PHP CTF 题目，深入解析代码审计中的核心漏洞。涵盖 extract 变量覆盖、%00 截断绕过 is_numeric、反序列化多重加密绕过、WITH ROLLUP SQL 注入，以及 strcmp 和 sha1 函数的数组类型绕过机制。适合安全初学者掌握基础审计思路。
本文阐述PHP开发中必须遵守的安全核心规则：绝不信任外部输入。重点介绍如何通过正则表达式清理POST数据、禁用register_globals、使用mysql_real_escape_string()防止SQL注入，以及利用is_numeric()限制GET变量。同时涵盖纵深防御策略，包括长度检查防溢出、strip_tags()防XSS及Token机制防远程表单提交，帮助开发者构建稳固的Web应用边界。
本文详细解析了针对无回显页面的布尔盲注攻击流程。通过分析单引号注入点，利用length和ascii函数结合Python requests库编写自动化脚本，逐步猜解mysql.user表中用户与密码拼接后的总长度及具体字符，最终成功获取数据库管理员密码。
本文分析了 PHP addslashes 函数在防止 SQL 注入时的局限性，特别是针对 GBK 等多字节字符集的 GPC 攻击漏洞。通过对比 addslashes、mysql_real_escape_string 和 mysql_escape_string 的区别，强调了从源头采用参数化查询的重要性，以确保数据安全。
本文解析PHP中SQL注入与跨站脚本(XSS)的攻击原理及危害。通过对比传统mysql扩展的缺陷，详细阐述使用PDO或mysqli预处理语句抵御SQL注入、利用htmlspecialchars函数转义输出防范XSS的核心方法。强调从数据输入过滤与输出转义两端构建安全防线的重要性。
本文深入剖析Python应用中常见的十大安全隐患，涵盖输入注入、断言误用、计时攻击、临时文件、YAML与XML解析风险、依赖污染及序列化问题。针对每种漏洞提供具体的代码示例与修复建议，帮助开发者构建更安全的Python应用。
本文介绍 PHP 中处理 HTTP 请求数据的多种安全过滤策略。涵盖针对 Magic Quotes 废弃后的 stripslashes_array 递归清洗、基于 htmlspecialchars 的 Xss 防御，以及通过加载外部关键词列表实现精确或模糊匹配的非法内容检测机制。旨在帮助开发者构建更健壮的输入校验逻辑。
本文深入解析提升PHP Web应用安全性的五大关键策略。涵盖如何正确配置错误报告以辅助调试，强制关闭已废弃且危险的 register_globals 与 magic_quotes 选项，严格实施用户输入验证以防御XSS攻击，以及使用 mysqli_real_escape_string 等函数有效预防SQL注入风险，助开发者构建更健壮的后台系统。
本文详解Python中MySQL的IN参数化两种常见写法，指出字符串拼接的风险与.format()方法的便捷性。同时针对读取本地配置文件时常见的类型错误及连接失败问题，提供排查思路与解决方案，帮助开发者避免SQL注入并稳定连接数据库。
传统PHP通过addslashes和magic_quotes_gpc进行防注入的代码已失效且存在严重逻辑漏洞。本文指出该类代码无法处理数字型注入及特殊字符，并详细阐述使用PDO或MySQLi预处理语句作为唯一可靠的防御方案，确保数据查询安全。
