防止sql注入最好的辦法是對于提交后臺的所有數據都進行過濾轉義。

對于簡單的情況，比如包含單引號' , 分號;, <, >, 等字符可通過rewrite直接重訂向到404頁面來避免。

用rewrite有個前提需要知道，一般用rewrite進行正則匹配只能匹配到網頁的URI，也就是url中?前部分，?以后部分是請求參數。

問號后面的請求參數，在nginx用$query_string表 示，不能在rewrite中匹配到，需要用if判斷

例如，對于參數中帶有單引號的'進行匹配然后定向到錯誤頁面，

/plus/list.php?tid=19&mid=1124'

rewrite ^.*([\;'\<\>]).* /error.html break;

直接寫這樣的一條重寫肯定不會正確匹配，因為rewrite參數只會匹配請求的uri，也就是/plus/list.php部分。

需要使用$query_string 借助if進行判斷，如果查詢串種包含特殊字符，返回404。

if ( $query_string ~* ".*[\;'\<\>].*" ){

return 404;

}