使用存储过程可降低SQL注入风险，但需正确编写：通过参数化输入、避免拼接用户数据、限制动态SQL、执行权限最小化及输入验证，才能有效防御注入漏洞。
在MySQL中使用存储过程可以在一定程度上降低SQL注入风险，但并不能完全防止。关键在于如何正确编写和调用存储过程。
使用参数化输入
存储过程的核心安全优势是支持参数化输入。避免在过程中拼接用户数据。
错误做法（危险）：
SET @sql = CONCAT('SELECT * FROM users WHERE name = ''', user_input, '''');正确做法（安全）：
SELECT * FROM users WHERE name = user_input;只要不拼接字符串，就不会引入注入漏洞。
避免动态SQL拼接
如果必须使用动态SQL（如构建可变查询），应严格过滤和转义变量。
- 尽量不用
CONCAT或+连接用户输入 - 若必须使用
PREPARE和EXECUTE，确保变量通过参数传入 - 例如：
EXECUTE stmt USING @safe_var;比EXECUTE stmt;更安全
权限最小化原则
为调用存储过程的用户分配最低必要权限。
- 不要给应用账户直接访问表的权限
- 只允许执行特定存储过程
- 使用
DEFINER属性控制执行上下文
输入验证与过滤
即使使用存储过程，也要对输入做基础校验。
- 检查数据类型是否匹配（如INT字段只接受数字）
- 限制字符串长度
- 对特殊字符（如单引号、分号）进行逻辑处理
基本上就这些。存储过程本身不是银弹，只有配合参数化操作、权限控制和输入验证，才能有效防御SQL注入。
