SQL 注入防御方法

约 854 字大约 3 分钟

2025-11-02

1. 使用预编译语句

这是最有效、也是最推荐的防御方法。预编译语句会先将 SQL 语句发送到数据库进行编译，然后将用户输入作为参数传递给编译好的语句。这样一来，用户输入的数据就无法改变 SQL 语句本身的结构

原理：将 SQL 语句与用户输入的数据分开处理。数据库会把用户输入的内容看作纯粹的数据，而不是可执行的代码
示例：
- 不安全的代码："SELECT * FROM users WHERE username = '" + userInput + "';"
  - 如果 userInput 是 ' OR 1=1 --，整个语句就变成了 SELECT * FROM users WHERE username = '' OR 1=1 --;，从而绕过登录验证
- 安全的预编译语句："SELECT * FROM users WHERE username = ?;"
  - 这里的问号 ? 是一个占位符。无论用户输入什么，都会被当作 username 字段的值来处理，而不是 SQL 代码

2. 对所有用户输入进行严格验证和过滤

永远不要相信用户的任何输入。在将数据送入数据库之前，必须对其进行验证和过滤

白名单验证：只允许特定的字符、格式或值通过。例如，如果某个输入框只接受数字，那么就只允许数字通过
黑名单过滤：禁止某些特定的危险字符或字符串，如单引号 '、分号 ;、双破折号 -- 等。但是，这种方法很容易被绕过，不推荐作为主要的防御手段

3. 使用 ORM 框架

许多现代编程语言的框架都提供了 ORM 工具，例如 Java 的 Hibernate、Python 的 SQLAlchemy、PHP 的 Eloquent。这些框架通常内置了对 SQL 注入的保护机制

优点：
- 安全性：ORM 框架会自动处理参数绑定，将开发者从手动编写安全 SQL 语句的繁琐工作中解放出来
- 易用性：开发者可以使用面向对象的方式操作数据库，无需直接编写 SQL 语句

4. 最小权限原则

为数据库账户分配最小的权限。一个账户如果只需要读取数据，就只给它 SELECT 权限，不要给它 INSERT、UPDATE 或 DELETE 权限

5. 错误信息处理

不要向用户暴露详细的数据库错误信息。攻击者可以利用这些信息来了解数据库结构、版本等，从而更容易发起下一次攻击

6. 使用 Web 应用防火墙（WAF）

WAF 可以在 Web 应用之前对 HTTP 请求进行过滤和拦截，它可以识别并阻止包含 SQL 注入特征的恶意请求

版权所有