数据库注入如何防御

本文目录导读：

1. 最核心方法：使用参数化查询（预编译语句）
2. 辅助手段：输入验证与过滤（白名单优先）
3. 数据库层加固
4. 使用ORM框架（对象关系映射）
5. 使用Web应用防火墙（WAF）
6. 其他实践
7. 最佳防御组合

数据库注入（SQL注入）是一种常见的安全漏洞，攻击者通过在输入字段中插入恶意SQL代码，从而操控数据库，有效防御SQL注入的核心原则是永远不要信任用户输入，并将数据与代码严格分离，以下是具体的防御策略，按优先级从高到低排列：

最核心方法：使用参数化查询（预编译语句）

这是防御SQL注入最有效、最根本的方法，它强制数据库将用户输入视为“数据”而非“可执行的SQL代码”。

• 原理： 预先定义好SQL语句的结构（骨架），然后将用户输入作为“参数”传递给数据库引擎，数据库引擎会先编译SQL结构，再安全地绑定参数值，从而彻底杜绝恶意SQL被解释执行的可能性。

• 代码示例（不同语言）：

  • Python (SQLite/PostgreSQL/MySQL)：使用或%s占位符

    import sqlite3
    conn = sqlite3.connect('example.db')
    cursor = conn.cursor()
    user_id = get_user_input()  # 假设这是用户输入
    # 正确做法：使用参数化查询
    cursor.execute("SELECT * FROM users WHERE id = ?", (user_id,))
    # 错误做法（危险）：直接拼接字符串
    # cursor.execute(f"SELECT * FROM users WHERE id = {user_id}")

  • Java (JDBC)：使用PreparedStatement

    String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
    PreparedStatement pstmt = connection.prepareStatement(sql);
    pstmt.setString(1, userInputUsername);
    pstmt.setString(2, userInputPassword);
    ResultSet rs = pstmt.executeQuery();

  • PHP (PDO)：使用命名或问号占位符

    $stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
    $stmt->execute(['email' => $userInput]);

  • Node.js (mysql2)：使用占位符

    const [rows, fields] = await connection.execute(
        'SELECT * FROM users WHERE id = ?',
        [userId]
    );

辅助手段：输入验证与过滤（白名单优先）

虽然不能替代参数化查询,但可以作为深度防御的一层。

• 白名单验证（推荐）：只允许特定的、已知安全的字符或格式，只允许数字、字母、邮箱格式、特定枚举值。
• 黑名单过滤（不推荐作为主要手段）：尝试过滤、OR、、1=1等关键词，这种方法容易被绕过（例如使用Unicode编码、注释符变体等），只能作为辅助。
• 类型强制转换：如果期望输入是整数，就使用intval()或类型转换函数将其转为整数。

数据库层加固

• 最小权限原则：
  • 应用程序数据库用户：只授予最必要的权限（如SELECT、INSERT、UPDATE、DELETE），永远不要使用root或dba账户。
  • 禁用危险功能：禁止应用程序用户执行DROP、CREATE、ALTER、EXECUTE、SHUTDOWN等操作。
• 安全配置：
  • 关闭错误信息泄露：不要将数据库详细的错误信息（如SQL语法错误、表名、字段名）直接返回给用户，应该记录在日志中，并向用户返回通用错误页面。
  • 数据库存储过程：可以将业务逻辑封装在存储过程中，并只对应用程序授予调用存储过程的权限，但注意，存储过程内部如果仍然使用拼接SQL，同样不安全。

使用ORM框架（对象关系映射）

像 Hibernate (Java)、 Entity Framework (.NET)、 SQLAlchemy (Python)、 Eloquent (PHP/Laravel)、 Prisma (Node.js) 等现代ORM框架，在设计上内置了参数化查询机制，只要你使用它们提供的查询构建器（Query Builder）或模型方法（Model），而不是手动拼接原生SQL，就天然具有较好的防注入能力。

• 注意：ORM并不能完全替代安全意识，有些ORM允许执行原生SQL，如果使用不当（如拼接字符串），同样存在风险。

使用Web应用防火墙（WAF）

• 作用： WAF（如ModSecurity、Cloudflare WAF、AWS WAF）可以在网络层分析HTTP请求，识别并拦截常见的注入攻击载荷。
• 定位： 这是一种外部补充手段，不能替代代码层面的防御，因为WAF的规则库可能滞后或产生误报。

其他实践

• 转义用户输入（已过时，不推荐）： 如使用mysql_real_escape_string()，这种方法历史上有过绕过漏洞（如宽字节注入），且维护成本高，请用参数化查询替代。
• 定期进行安全审计： 使用自动化扫描工具（如SQLMap、商业DAST工具）或进行代码审查，查找代码中潜在的拼接SQL。

最佳防御组合

1. 首选：始终使用参数化查询或安全可靠的ORM框架。
2. 辅助：对输入进行严格的类型验证和白名单验证。
3. 底层：数据库账户遵循最小权限原则，并关闭详细错误信息。
4. 外部：部署WAF作为补充。

只要做到以上几点,特别是强制使用参数化查询，就能抵御99%以上的SQL注入攻击。