现代Web应用的SQL注入防护

SQL注入仍然是最关键的Web应用程序漏洞之一。攻击者利用它来窃取数据、绕过身份验证，甚至执行系统命令。如果你的应用程序通过拼接用户输入来构建SQL查询，那么你就面临风险。本文解释了SQL注入的工作原理，并提供了在现代Web应用程序中防止它的实用步骤。

SQL注入是如何发生的

当不受信任的数据被解释为SQL命令的一部分时，就会发生SQL注入。例如，考虑一个使用以下查询检查凭据的登录表单：

SELECT * FROM users WHERE username = '$username' AND password = '$password';

如果攻击者在用户名中输入' OR '1'='1，并输入任意密码，查询就会变成：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = 'anything';

这会返回所有用户，从而绕过身份验证。类似的技术还可以提取数据、修改记录或删除表。

1. 使用预编译语句（参数化查询）

预编译语句将SQL代码与数据分离。数据库首先接收查询结构，然后接收参数，因此用户输入永远不会被当作SQL代码处理。这是最有效的防御措施。

PHP中使用PDO的示例：

$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(['email' => $userInput]);
$user = $stmt->fetch();

Java中使用JDBC的示例：

String sql = "SELECT * FROM users WHERE email = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, userInput);
ResultSet rs = stmt.executeQuery();

对于所有用户提供的数据，包括搜索字段、过滤器和排序参数，始终使用参数化查询。

2. 验证和清理输入

虽然预编译语句是主要手段，但输入验证可以增加纵深防御。验证输入是否符合预期模式（例如，电子邮件格式、数字ID），并拒绝任何意外内容。例如，如果ID应该是整数，则在代码中将其转换为int。避免将引号等字符列入黑名单——攻击者可以绕过此类过滤器。

3. 安全地使用ORM

像Hibernate、Entity Framework和Sequelize这样的ORM通常默认使用参数化查询。然而，它们通常允许原始SQL片段。对于接受原始字符串的方法要谨慎：

• 在Sequelize中，避免使用sequelize.query('SELECT * FROM users WHERE name = \'' + name + '\'')。改用替换或绑定参数。
• 在Hibernate中，在HQL中使用命名参数，而不是字符串拼接。

始终查阅你的ORM文档以了解安全的查询构建方式。

4. 如果无法使用预编译语句，则转义数据

在极少数情况下，你必须构建动态SQL（例如，动态表名），请使用数据库驱动程序的转义函数。对于MySQL，mysqli_real_escape_string()可以转义特殊字符。但请记住：转义不如预编译语句稳健，应作为最后的手段。

5. 对数据库账户应用最小权限原则

不要以root或具有完全权限的用户连接到数据库。为你的应用程序创建一个专用的数据库用户，仅授予必要的权限（对特定表的SELECT、INSERT、UPDATE、DELETE）。这可以在发生注入时限制损害。

6. 使用Web应用程序防火墙（WAF）

WAF可以检测并阻止常见的SQL注入模式。虽然不能替代安全编码，但它提供了额外的保护层。许多云提供商提供易于启用的托管WAF。

7. 定期安全测试

使用自动化扫描器或手动渗透测试来测试你的应用程序是否存在SQL注入漏洞。像SQLMap这样的工具可以帮助识别问题。将安全测试集成到你的CI/CD流水线中，以便尽早发现回归问题。

防护技术比较

常见问题

防止SQL注入最有效的方法是什么？

使用带有参数化查询的预编译语句是最有效的方法。它确保用户输入永远不会被解释为SQL代码。

仅靠输入验证能防止SQL注入吗？

不能。输入验证是一种良好的纵深防御措施，但不应单独依赖它。攻击者有时可以绕过验证规则，因此始终使用预编译语句作为主要防御手段。

ORM是否自动免受SQL注入？

如果正确使用，ORM通常是安全的，但它们通常允许原始SQL查询，如果拼接用户输入，则可能容易受到攻击。即使在ORM方法中，也始终使用参数化查询。

为了额外的安全性，考虑使用JSON格式化工具来安全地检查和验证API响应，而无需执行恶意代码。