SQL 注入是什么？用大白话讲清楚
访客在输入框里填的不是名字，而是一段数据库命令，网站没过滤就照着执行了。
先说结论
- 白话版：网站的输入框（搜索框、表单、登录框）本该只接收文字，但有人填了一段数据库指令。
- 如果程序没做过滤，这段指令就会被当成命令执行，数据库可能被读走、被改、被塞黑链。
- 常见入口：搜索框、登录框、留言板、URL 参数、任何接收用户输入的地方。
- 防范主要靠程序层面：参数化查询、输入过滤、最小权限的数据库账号。
- 中小企业能做的：用成熟稳定的 CMS、及时升级、别用来路不明的插件。
- 定期备份是被黑后唯一的退路。
照着做：6 步
- 1. 确认 CMS 和插件都是最新版。
- 2. 删除不用的插件和模板。
- 3. 数据库账号只给必要权限。
- 4. 装 Web 应用防护。
- 5. 开每日自动备份。
- 6. 定期看服务器日志的异常请求。
这几个坑别踩
- 系统几年不升级。
- 用破解插件，自带漏洞和后门。
- 数据库用最高权限账号连接。
- 没备份，中招只能认栽。
你可能还想问
我怎么知道自己有没有被注入？
看数据库有没有异常表和字段、页面源码有没有莫名链接、服务器日志有没有异常请求。
要请安全公司吗？
中小企业先把免费的做全：升级、备份、改密码、装防护。真出事再请专业应急。
用了成熟的建站系统还会有吗？
成熟系统会修补已知漏洞，风险主要在没升级的版本和第三方插件上。