SQL注入真的很难防吗

Question

为什么整天有人喊自己的网站被注入呢？  
我觉得把参数都过滤了 不就没事了吗（比如 参数检查， 存储过程中尽量不要拼接等等）
是不是SQL注入还另有高招 是不是就算过滤了参数也没用,一样能注入 求解

Answer 1

http://topic.csdn.net/u/20090729/14/26381958-0d6e-4b90-bc90-d275e9621f93.html

Answer 2

1:参数化
2：最保险的是在global里的begin_request加上过滤方法。。

Answer 3

最好参数化，不然你每个Sql字符串的传参都要检索恶意字符.

Answer 4

自己定义一个防注入类，一般也就三个函数吧，分别用来防GET，POST，COOKIE。