1. 使用参数化查询（Prepared Statements）
参数化查询是防止SQL注入的核心方法。其原理是将SQL语句的结构与数据分离：SQL语句预先编译时，用户输入的参数会被视为纯文本而非SQL命令。例如，在Java中使用Informix JDBC驱动时，通过PreparedStatement的setString、setInt等方法绑定参数，数据库会自动处理特殊字符（如单引号），避免恶意代码执行。这种方式能有效阻止攻击者通过输入' OR '1'='1等恶意字符串篡改查询逻辑。
2. 严格输入验证与过滤
对所有用户输入进行严格的格式和内容验证，确保输入符合预期类型（如数字字段仅接受整数，字符串字段不允许包含特殊字符）。可采用白名单机制（仅允许特定字符，如字母、数字）或黑名单机制（过滤单引号、分号、--等SQL关键字）。例如，使用正则表达式验证用户名是否只包含字母和数字，或过滤掉输入中的危险字符，从源头上减少注入风险。
3. 应用最小权限原则
为数据库用户分配仅满足应用需求的最小权限。例如，若应用仅需查询数据，不要授予INSERT、UPDATE、DELETE等写权限；若无需修改表结构，不要授予ALTER、DROP等权限。通过限制用户权限，即使发生SQL注入，攻击者也无法执行破坏性操作（如删除表、导出数据）。
4. 使用存储过程封装业务逻辑
将常用的SQL操作封装在数据库存储过程中，应用程序通过调用存储过程而非直接拼接SQL语句。存储过程的参数会被数据库预编译处理，且参数传递方式为“传值”而非“传SQL片段”，有效防止注入。例如，创建一个获取用户信息的存储过程GetUserInfo，应用程序通过CALL GetUserInfo(?, ?)调用，参数通过setXXX方法绑定。
5. 避免动态SQL拼接
尽量避免在应用程序代码中拼接SQL语句（如使用字符串拼接将用户输入嵌入SQL）。若必须使用动态SQL，应确保所有用户输入都经过参数化处理。例如，不要使用"SELECT * FROM users WHERE username = '" + username + "'"这样的拼接方式，而是使用PreparedStatement绑定username参数。
6. 结合Debian系统安全配置
虽然Debian防火墙（如iptables、UFW）无法直接防止SQL注入，但可通过限制数据库端口的访问范围（如仅允许应用服务器IP访问Informix的默认端口1526），减少外部攻击面。此外，定期更新Debian系统和Informix数据库软件，修补已知安全漏洞，也是提升整体安全性的重要措施。
7. 加强审计与监控
启用Informix的审计功能，记录数据库操作日志（如登录、查询、修改等），监控异常行为（如频繁的失败登录、大量数据导出）。通过分析日志，及时发现并应对SQL注入尝试。例如，设置警报规则，当同一用户短时间内多次尝试登录失败时，触发邮件或短信通知管理员。
