SQL注入风险如何防范

SQL 注入（SQL Injection）是一种常见且高危的 Web 安全漏洞。防范 SQL 注入的核心思想是：永远不要信任用户输入，并严格区分代码与数据。下面从原则、技术手段、开发规范、示例等方面系统说明。

一、核心防范原则

1. 不要拼接 SQL
2. 使用参数化查询 / 预编译语句
3. 最小权限原则
4. 对输入做严格校验
5. 避免暴露数据库错误信息

二、最有效的技术手段（必做）

✅ 1. 使用参数化查询（首选）

参数化查询是防止 SQL 注入最可靠的方法。

✅ Java（JDBC / MyBatis）

String sql = "SELECT * FROM user WHERE id = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1, userId);

✅ Python（使用参数占位符）

cursor.execute("SELECT * FROM user WHERE id = %s", (user_id,))

❌ 错误示例

sql = f"SELECT * FROM user WHERE id = {user_id}"

✅ 2. ORM 框架（推荐）

ORM 自动处理参数绑定，大多数情况下是安全的。

✅ MyBatis 正确写法：

<select id="getUser">
  SELECT * FROM user WHERE id = #{id}
</select>

❌ 错误写法：

SELECT * FROM user WHERE id = ${id}

✅ 3. 使用存储过程（需谨慎）

存储过程本身不等于安全，只有在参数化调用时才安全。

三、输入校验与白名单

✅ 1. 强类型校验

if (id instanceof Integer) {
    ...
}

✅ 2. 白名单校验（尤其适合固定值）

if (!Arrays.asList("asc", "desc").contains(order)) {
    throw new IllegalArgumentException();
}

✅ 3. 禁止直接拼接用户输入

❌ 用户输入 → SQL
✅ 用户输入 → 参数 → SQL

四、数据库与运维层面防护

✅ 1. 最小权限原则

• Web 应用账号 不应有 DROP / ALTER / GRANT 权限
• 只给 SELECT / INSERT / UPDATE / DELETE

✅ 2. 关闭数据库错误回显

❌ 禁止：You have an error in your SQL syntax
✅ 返回：系统异常，请联系管理员

✅ 3. 使用 WAF（Web 应用防火墙）

• 可拦截常见 SQL 注入特征
• 不能替代代码安全

五、常见误区（必须注意）

❌ 1. 仅用字符串替换/过滤

input.replace("'", "")

❌ 容易被绕过（编码、大小写、数据库特性）

❌ 2. 认为前端校验就够了

前端校验 完全不可信

❌ 3. 认为“用了 ORM 就安全”

• 自定义 SQL 时仍可能拼接
• 动态条件拼接需特别注意

六、代码审计建议

审查以下高风险点：

• 动态 SQL 拼接
• ORDER BY / LIMIT 参数
• 报表 / 导出 / 搜索模块
• 老代码或拼接字符串的 DAO 层

七、简单总结口诀 ✅

能参数化就参数化，能 ORM 就 ORM，永远不拼接用户输入。

如果你愿意，我可以：

• ✅ 帮你 审查一段具体代码是否有 SQL 注入风险
• ✅ 针对 Java / Python / PHP / Node.js 给出更具体的防范方案
• ✅ 模拟一次 SQL 注入攻击并展示如何防御

只要把场景或代码贴出来即可。