1.参数化查询（Parameterized Query 或 Parameterized Statement）是指在设计与数据库链接并访问数据时，在需要填入数值或数据的地方，使用参数 (Parameter) 来给值，这个方法目前已被视为最有效可预防SQL注入攻击 (SQL Injection) 的攻击手法的防御方式。 2.数据校验：对用户传递过来的数据进行严格的数据校验，如果接收的参数为数字型参数，判断参数值是否为数字型，如果不是数字型，拒绝处理；如果接收的参数为字符型参数，对单引号、双引号、反斜杠和NULL字节进行转义。 参考链接：https://scan.tencent.com/doc/help/sql_inject_detect.html