数据库怎样防SQL注入

防止 SQL 注入（SQL Injection）是数据库与系统安全中最基本、也最重要的一环。下面从原理 → 防护措施 → 最佳实践三个层面说明。

一、SQL 注入原理（简要）

SQL 注入的本质是：
用户输入被当作 SQL 代码执行，而不是数据

示例（危险写法）：

"SELECT * FROM user WHERE name = '" + username + "'"

如果用户输入：

' OR '1'='1

最终 SQL 变成：

SELECT * FROM user WHERE name = '' OR '1'='1'

→ 绕过认证，泄露数据。

二、核心防注入手段（最重要）

✅ 1. 使用「参数化查询 / 预编译语句」（首选）

这是最有效、最根本的方法

示例（Java / JDBC）

String sql = "SELECT * FROM user WHERE name = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, username);

示例（Python）

cursor.execute(
  "SELECT * FROM user WHERE name = %s",
  (username,)
)

示例（MyBatis）

<select id="getUser">
  SELECT * FROM user WHERE name = #{name}
</select>

❌ 不要用 ${name}（字符串拼接）

✅ 2. 使用 ORM 框架

ORM 默认使用参数化查询：

• Hibernate
• MyBatis（正确使用 #{}）
• Entity Framework
• Django ORM
• SQLAlchemy

✅ 减少手写 SQL
❌ 不要拼接 SQL 字符串

✅ 3. 输入校验与白名单

即使使用参数化，也建议：

• 类型校验（数字、邮箱、日期）
• 长度限制
• 白名单（如只允许某些字段名、排序方式）

if (!sortField.matches("^(id|name|time)$")) {
    throw new IllegalArgumentException();
}

✅ 4. 最小权限原则

数据库账号只给必要权限：

• ❌ 不给 DROP / DELETE / FILE
• ✅ 只读账号用于查询
• ✅ 不同业务用不同账号

✅ 5. 存储过程（谨慎使用）

• 正确使用可防注入
• 但存储过程内部拼接 SQL 仍有风险

❌ 错误示例：

EXEC('SELECT * FROM user WHERE name = ''' + @name + '''')

✅ 6. 避免暴露数据库错误信息

• 不向前端返回原始 SQL 错误
• 记录日志，返回通用错误提示

✅ 7. 使用 Web 防火墙（WAF）

• 拦截常见注入特征
• 作为辅助手段，不是唯一手段

三、常见错误（务必避免）

❌ 字符串拼接 SQL
❌ 前端校验代替后端校验
❌ 使用 ${} 代替 #{}
❌ 把用户输入直接拼进 ORDER BY / LIMIT
❌ 认为“转义一下就够了”

四、一句话总结

防 SQL 注入 = 参数化查询 + 最小权限 + 输入校验

如果你愿意，可以告诉我：

• 使用的语言 / 框架（Java、Python、PHP、Node 等）
• 是否已有代码需要安全检查

我可以帮你具体改代码。