计算机数据本身既无害也无害。这只是一条信息，以后可以用于特定目的。
有时，数据被用作计算机源代码，而这些代码最终会导致物理操作（磁盘旋转、LED 闪烁、图片上传到远程计算机、恒温器关闭锅炉……）。那时（而且只有那时）数据会变得有害；由于软件错误，我们甚至不时失去昂贵的太空船。
您自己编写的代码可能与您的能力或诚信所决定的一样有害或无害。当您的应用程序存在允许执行不受信任的第三方代码的漏洞时，就会出现大问题。这在 Web 应用程序中尤为严重，这些应用程序连接到开放的互联网，并有望从世界任何地方接收数据。但是，这在物理上怎么可能？有几种方法，但最典型的情况是由于动态生成的代码，这在现代 www 中一直发生。您使用 PHP 生成 SQL、HTML、JavaScript... ) 有人可能被黑客入侵（您或您的用户）。
您每天都会在 Stack Overflow 上看到这一点：
$username = $_POST["username"];
$row = mysql_fetch_array(mysql_query("select * from users where username='$username'"));
<td><?php echo $row["title"]; ?></td>
var id = "<?php echo $_GET["id"]; ?>";
面对这个问题，有人声称：让我们进行消毒吧！很明显有些角色是邪恶的，所以我们将它们全部删除，我们就完成了，对吧？然后我们看到这样的东西：
$username = $_POST["username"];
$username = strip_tags($username);
$username = htmlentities($username);
$username = stripslashes($username);
$row = mysql_fetch_array(mysql_query("select * from users where username='$username'"));
这是一个令人惊讶的普遍误解，甚至被一些专业人士所采用。您到处都可以看到症状：您的评论首先被破坏了< 符号，您在注册时收到“您的密码不能包含空格”，并且您在常见问题解答中阅读了Why can’t I use certain words like "drop" as part of my Security Question answers?。它甚至出现在计算机语言中：每当您在函数名称中读到“sanitize”、“escape”...（没有进一步的上下文）时，您都会很好地暗示这可能是一种错误的努力。
这一切都是为了明确区分数据和代码：用户提供数据，但只有您提供代码。并且没有通用的万能解决方案，因为每种计算机语言都有自己的语法和规则。 DROP TABLE users; 在 SQL 中可能非常危险：
mysql> DROP TABLE users;
Query OK, 56020 rows affected (0.52 sec)
（哎呀！）......但它并没有那么糟糕，例如JavaScript。看，它甚至没有运行：
C:\>node
> DROP TABLE users;
SyntaxError: Unexpected identifier
at Object.exports.createScript (vm.js:24:10)
at REPLServer.defaultEval (repl.js:235:25)
at bound (domain.js:287:14)
at REPLServer.runBound [as eval] (domain.js:300:12)
at REPLServer.<anonymous> (repl.js:427:12)
at emitOne (events.js:95:20)
at REPLServer.emit (events.js:182:7)
at REPLServer.Interface._onLine (readline.js:211:10)
at REPLServer.Interface._line (readline.js:550:8)
at REPLServer.Interface._ttyWrite (readline.js:827:14)
>
最后一个例子也说明这不仅仅是一个安全问题。即使您没有被黑客入侵，从随机输入生成代码也会让您的应用崩溃：
SELECT * FROM customers WHERE last_name='O'Brian';
您的 SQL 语法有误；查看与您的 MySQL 服务器版本相对应的手册，了解在“Brian”附近使用的正确语法
那么，如果没有通用的解决方案，那该怎么办呢？
-
了解问题：
如果您不正确地注入原始文字数据，它可能会变成代码（有时是无效代码）。
-
使用每种技术的特定机制：
如果目标语言需要转义：
<p><3 to code</p> → <p>&lt;3 to code</p>
...在源语言中找到一个特定的工具来转义：
echo '<p>' . htmlspecialchars($motto) . '</p>';
如果语言/框架/技术允许在单独的通道中发送数据，请这样做：
$sql = 'SELECT password_hash FROM user WHERE username=:username';
$params = array(
'username' => $username,
);