您现在的位置：程式碼之家 >> 數據庫知識 > >> SQL Server 資料庫 >> 關於SqlServer

SQL 注入攻擊原理與防禦全攻略：參數化查詢、型別檢查、編碼函數

編輯：關於SqlServer

SQL 注入本質

將使用者輸入的資料當作SQL 命令執行。根因：字串拼接構建 SQL，未使用參數化查詢。

經典攻擊演示

-- 正常查詢
SELECT id, no FROM user WHERE id = 2;

-- 攻擊輸入：2 OR 1=1
SELECT id, no FROM user WHERE id = 2 OR 1=1;  -- 返回全表

-- 攻擊輸入：2; DROP TABLE sqlinject; --
-- 刪除資料表！

三層防禦體系

第一層：參數化查詢（預編譯 + 綁定變數）—— 最佳、首選

String sql = "SELECT id, no FROM user WHERE id = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1, id);  -- 型別安全綁定
ps.executeQuery();

原理：SQL 引擎在預編譯階段完成語法分析、生成執行計畫。後續參數只作為字面值，絕不參與語法解析，故 OR 1=1 等片段不會被視為命令。

第二層：嚴格型別檢查與正則驗證（無法用參數化時）

-- 應用層驗證
if (!input.matches("\\d+")) throw new IllegalArgumentException("ID 必須為整數");
String sql = "SELECT * FROM user WHERE id = " + input; // 相對安全

數值型：Integer.parseInt() 捕獲異常
字串型：白名單正則、長度限制
識別碼型：^[a-zA-Z0-9_]+$

第三層：安全編碼函數（最後防線）

MySQLCodec codec = new MySQLCodec(Mode.STANDARD);
String safeName = ESAPI.encoder().encodeForSQL(codec, name);
String sql = "SELECT * FROM user WHERE name = " + safeName;

encodeForSQL 將特殊字元（引號、分號、註解符等）轉義，使其喪失 SQL 命令語意。