SQL注入攻击怎么防范？

本文目录导读：

1. 核心防御：参数化查询（预处理语句）
2. 重要防御措施（辅助手段）
3. 极端情况：无法使用参数化查询时
4. 最佳实践清单

防范SQL注入攻击是Web开发中最基础也最重要的安全措施之一,核心原则是：永远不要信任用户的输入，并严格遵循以下最佳实践：

核心防御：参数化查询（预处理语句）

这是最有效、最根本的防御手段，它确保SQL语句的结构与用户输入数据完全分离。

• 原理：先向数据库发送SQL指令模板（使用占位符如或name），再单独发送参数值，数据库引擎会严格区分代码和数据，用户输入永远不会被解释为SQL代码。
• 示例（不同语言）：
  • Java (JDBC): PreparedStatement pstmt = conn.prepareStatement("SELECT * FROM users WHERE username = ?"); pstmt.setString(1, username);
  • Python (MySQLdb/psycopg2): cursor.execute("SELECT * FROM users WHERE username = %s", (username,))
  • PHP (PDO): $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username"); $stmt->execute([':username' => $username]);
  • C# (ADO.NET): SqlCommand cmd = new SqlCommand("SELECT * FROM Users WHERE Username = @username", conn); cmd.Parameters.AddWithValue("@username", username);
  • Node.js (mysql2): connection.execute('SELECT * FROM users WHERE username = ?', [username], callback);

重要：切勿使用字符串拼接或格式化来构建SQL语句，

# 严重错误！请勿使用
query = f"SELECT * FROM users WHERE username = '{username}'"

重要防御措施（辅助手段）

这些措施可以增加攻击难度,但不能替代参数化查询。

输入验证与白名单

• 白名单：如果可能，只允许用户输入符合特定格式的值（如数字、枚举值、UUID），用户ID如果是数字，就用intval()或is_numeric()进行验证。
• 黑名单：过滤或转义特殊字符（如单引号、分号、双横线）。注意：这不是安全的做法，因为攻击者可以找到绕过方法，仅在无法使用参数化查询（如动态表名、列名排序）时作为辅助。
• 长度限制：合理限制输入长度，能减少部分攻击面。

最小权限原则

• 数据库连接账户应只拥有完成任务所需的最小权限，一个只读的报表应用，其数据库用户应只有SELECT权限，绝不能用root或DBA级别的账户。
• 限制INSERT、UPDATE、DELETE、DROP、CREATE等危险权限到最低限度。

转义特殊字符（不推荐作为主要手段）

在某些无法使用参数化查询的极端情况（例如需要动态拼接表名、列名，这部分通常由代码逻辑控制，而非用户输入），需要对用户输入进行转义，使用数据库驱动程序自带的转义函数（如mysql_real_escape_string），而不是自己写函数。

使用ORM（对象关系映射）框架

• 现代ORM框架（如Hibernate、Entity Framework Core、SQLAlchemy、Django ORM、MyBatis）内部都大量基于参数化查询，使用它们可以显著减少手动编写SQL的机会。
• 注意：ORM中若直接拼接SQL（如Hibernate的createQuery("from User where name='" + username + "'")）仍然危险。

Web应用防火墙（WAF，Web应用防火墙）

• 部署WAF（如ModSecurity、Cloudflare、AWS WAF）可以检测并阻止常见的SQL注入攻击载荷（如' OR 1=1--），但这只是最后一道防线，不能依赖它作为唯一防御。

错误信息处理

• 切勿将数据库异常直接暴露给用户，这会给攻击者提供关键线索（如表名、列名、数据库类型）。
• 在代码中统一捕获异常,并返回通用的错误提示（如“查询失败，请稍后重试”）。

极端情况：无法使用参数化查询时

当需要动态指定表名或列名（例如ORDER BY后面跟用户选择的字段）时，参数化查询无法直接实现，这时应该：

1. 使用白名单：创建一个允许的列名、表名字典或数组。
2. 映射用户输入：用户只能选择预设的选项，代码根据映射关系选择对应的列名/表名。
3. 严格验证：如果是列名，确保输入只包含字母、数字和下划线，不包含任何SQL关键字或特殊字符。

最佳实践清单

一句话总结：在任何可能的地方，强制使用参数化查询（预处理语句）。 然后把输入验证、最小权限、错误处理等作为标准配置。