怎样修复SQL注入安全隐患

修复 SQL 注入安全隐患，核心原则是：永远不要把用户输入直接拼接到 SQL 语句中。下面按“最推荐 → 逐步加强”的方式说明。

一、最根本、最有效的做法（首选）

1. 使用参数化查询（预编译语句）

这是防 SQL 注入的标准方案。

示例（错误写法 ❌）

"SELECT * FROM user WHERE name = '" + username + "'"

正确写法 ✅（以 Java 为例）

String sql = "SELECT * FROM user WHERE name = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, username);

其他语言示例

• Python（MySQL）

cursor.execute("SELECT * FROM user WHERE name = %s", (username,))

• PHP（PDO）

$stmt = $pdo->prepare("SELECT * FROM user WHERE name = ?");
$stmt->execute([$username]);

✅ 参数化能确保用户输入永远不会被当作 SQL 代码执行。

二、使用 ORM 框架（推荐）

ORM 会自动使用参数化查询，减少手写 SQL。

常见 ORM：

• Java：MyBatis（注意 #{} 而非 ${}）、Hibernate
• Python：SQLAlchemy、Django ORM
• Node.js：Sequelize、TypeORM

⚠️ 注意：
MyBatis 中

#{name}  ✅ 安全
${name}  ❌ 有注入风险

三、最小权限原则

即使有漏洞，也要降低危害：

• 数据库账号不要用 root / sa
• 只给应用账号：
  • 必要的表
  • 必要的 SELECT / INSERT / UPDATE
• 禁止：
  • DROP
  • FILE
  • EXECUTE

四、输入校验与白名单

参数化是主力，输入校验是辅助。

1. 白名单（最安全）

if (!Arrays.asList("admin","user").contains(role)) {
    throw new IllegalArgumentException();
}

2. 类型与格式校验

• 数字：必须是数字
• 邮箱：正则校验
• 长度限制

五、避免危险写法

❌ 以下方式风险极高：

• 字符串拼接 SQL
• 动态表名 / 字段名拼接
• 在 SQL 中使用 execute() 执行拼接字符串

✅ 如果必须动态表名：

• 使用白名单映射

Map<String, String> tableMap = Map.of("user", "t_user");

六、其他安全措施（补充）

• 关闭详细 SQL 错误回显
• 使用 Web 防火墙（WAF）
• 定期安全扫描（SQLMap、SonarQube）
• 代码评审关注 SQL 拼接

总结一句话

防 SQL 注入 = 参数化查询 + 最小权限 + 输入校验

如果你愿意，可以：

• 发一段具体代码
• 告诉我使用的语言 / 框架

我可以直接帮你改成安全版本。