SQL注入（SQL Injection）是最常见的Web应用漏洞之一，它允许攻击者通过注入恶意SQL代码来操作数据库，获取、修改或删除数据。作为Java开发者，理解并防止SQL注入攻击是至关重要的。在本篇文章中，我们将详细介绍SQL注入的原理，演示如何在电商交易系统中出现SQL注入漏洞，并提供正确的防范措施和解决方案。
1. 什么是SQL注入？
SQL注入是一种通过在用户输入中嵌入恶意SQL代码的攻击方式。攻击者可以利用漏洞在未经授权的情况下访问数据库，执行原本不被允许的操作。例如，攻击者可以绕过身份验证、检索敏感信息，甚至删除数据。
1.1 SQL注入的基本原理
SQL注入的根本原因是应用程序将用户输入直接拼接到SQL查询中执行。当用户输入未经过适当的转义或验证时，恶意用户可以通过构造特定的输入，改变SQL查询的结构，导致安全问题。
1.2 常见的SQL注入类型
- 联合查询注入（Union-based Injection）：攻击者使用
UNION查询组合多个SQL结果。 - 基于错误的注入（Error-based Injection）：利用SQL错误信息反馈，攻击者可以推断数据库结构。
- 盲注（Blind SQL Injection）：攻击者通过布尔条件推测数据库信息，即使没有直接的错误反馈。
2. 防止SQL注入的基本策略
除了简单的登录场景外，SQL注入还可能出现在许多其他地方，如搜索、表单提交、订单处理等。我们需要综合运用多种防御策略来保证系统的安全。
- 使用预编译的SQL查询（Prepared Statements）： 预编译查询不仅能防止SQL注入，还能提升查询的执行效率。
- 对用户输入进行严格验证： 在接受用户输入之前，对其进行合法性验证，如使用正则表达式检查字符串的格式。
- 最小权限原则： 数据库用户应仅拥有执行任务所需的最小权限。如果一个用户不需要修改数据，那么他应该只被赋予读取权限。
- 使用ORM框架： 使用Hibernate、MyBatis等ORM框架可以有效减少手动编写SQL的机会，从而降低SQL注入的风险。
3. PreparedStatement防止SQL注入
以电商系统的订单查询功能为例，用户可以通过输入订单编号查看订单详情。如果未进行适当的安全检查，攻击者可以利用SQL注入来查询其他用户的订单信息，甚至删除订单记录。
错误示范：拼接订单编号的查询
public Order getOrderById(String orderId) {
String query = "SELECT * FROM orders WHERE order_id = '" + orderId + "'";
try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);
Statement stmt = conn.createStatement()) {
ResultSet rs = stmt.executeQuery(query);
if (rs.next()) {
return new Order(rs.getString("order_id"), rs.getString("order_status"));
}
} catch (SQLException e) {
e.printStackTrace();
}
return null;
}
如果攻击者输入 orderId 为 '; DELETE FROM orders; --，则原始SQL语句将变为：
SELECT * FROM orders WHERE order_id = ''; DELETE FROM orders; --'
这将导致数据库删除orders表中的所有记录。
正确示范：使用PreparedStatement和参数化查询
public Order getOrderById(String orderId) {
String query = "SELECT * FROM orders WHERE order_id = ?";
try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);
PreparedStatement pstmt = conn.prepareStatement(query)) {
pstmt.setString(1, orderId);
ResultSet rs = pstmt.executeQuery();
if (rs.next()) {
return new Order(rs.getString("order_id"), rs.getString("order_status"));
}
} catch (SQLException e) {
e.printStackTrace();
}
return null;
}
通过使用PreparedStatement，我们将用户输入的orderId作为参数传递给查询，确保SQL注入无效。
4 白名单方式防止SQL注入
除了PreparedStatement，我们可以采用“白名单”方式来防止SQL注入。白名单方式通过限制输入值的合法范围，从而避免注入攻击。这种方法特别适用于那些用户输入内容相对固定的场景，比如查询条件、枚举值等。
白名单校验是一种确保输入内容仅限于预定义合法值的方法。比如，在电商系统中，订单状态可能只有几个固定值（如"pending"、"shipped"、"delivered"），这时可以通过白名单校验来确保输入合法。
白名单校验示例：
public String getOrderStatus(String status) {
// 定义订单状态的白名单
List<String> allowedStatus = Arrays.asList("pending", "shipped", "delivered", "canceled");
if (!allowedStatus.contains(status)) {
throw new IllegalArgumentException("Invalid status value");
}
String query = "SELECT * FROM orders WHERE status = '" + status + "'";
try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);
Statement stmt = conn.createStatement()) {
ResultSet rs = stmt.executeQuery(query);
if (rs.next()) {
return rs.getString("status");
}
} catch (SQLException e) {
e.printStackTrace();
}
return null;
}
在这个例子中，系统只允许来自白名单的订单状态值。如果输入超出白名单范围，代码会抛出IllegalArgumentException，拒绝非法输入。
优点：
- 白名单方式特别适合输入值有明确范围的场景，比如状态、分类、类型等。
缺点：
- 这种方式适用于输入值有限的场景，对于自由文本输入（如搜索框、评论等）不太适用。
5. 禁止特定函数：防止SLEEP()等危险函数
有些SQL注入攻击依赖于数据库的延时执行函数，比如SLEEP()函数。攻击者利用SLEEP()函数在盲注场景下判断SQL是否执行成功。为了防止这种类型的攻击，我们可以通过代码或数据库层面禁止这些函数。
5.1 数据库层面禁用函数
很多数据库（例如MySQL）允许通过配置禁用特定函数。可以在数据库用户权限配置中禁用危险函数，如SLEEP()、BENCHMARK()等。
在MySQL中，可以通过用户权限管理来禁用特定函数的执行：
REVOKE EXECUTE ON FUNCTION SLEEP FROM 'username'@'host';
通过这一命令，可以禁止某个用户调用SLEEP()函数，从而避免SQL注入攻击者通过此方法滥用系统资源。
5.2 代码层面防止危险函数调用
在应用层面，也可以通过检查SQL语句中是否包含危险的函数调用，来防止SQL注入。例如，可以在执行SQL查询之前，对SQL语句进行关键字匹配，检测是否包含SLEEP()、BENCHMARK()等关键字。
示例：代码层面禁止SLEEP()函数
public void executeQuery(String query) throws IllegalArgumentException {
// 检查SQL语句中是否包含危险函数
if (query.toLowerCase().contains("sleep") || query.toLowerCase().contains("benchmark")) {
throw new IllegalArgumentException("SQL query contains forbidden functions");
}
try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);
Statement stmt = conn.createStatement()) {
ResultSet rs = stmt.executeQuery(query);
// 执行查询逻辑...
} catch (SQLException e) {
e.printStackTrace();
}
}
在该示例中，代码会在SQL查询执行前，检查SQL字符串中是否包含SLEEP()或BENCHMARK()函数。如果发现这些危险函数，系统会抛出异常，阻止查询的执行。
5.3 正则表达式校验
另一种防止SQL注入的方式是使用正则表达式来过滤用户输入。在一些场景下，我们可以通过正则表达式的方式检查输入字符串是否包含SQL注入的危险语句。
示例：使用正则表达式过滤危险SQL
public boolean isValidInput(String input) {
// 定义SQL注入的危险关键字
String regex = ".*([';--]|(\\b(select|update|delete|insert|drop|union|sleep|benchmark)\\b)).*";
// 使用正则表达式匹配非法输入
Pattern pattern = Pattern.compile(regex, Pattern.CASE_INSENSITIVE);
Matcher matcher = pattern.matcher(input);
return !matcher.matches();
}
该正则表达式可以检测出输入字符串是否包含SELECT、UPDATE、DELETE等关键字，或者使用';、--等SQL注释符号。一旦发现这些危险关键字或符号，系统可以拒绝输入。
注意：虽然正则表达式是一种有效的防御方式，但它有一定的复杂性，并且对于复杂的SQL注入攻击可能无法完全防范。因此，正则表达式更多是作为一种辅助手段，建议与其他安全措施（如PreparedStatement）配合使用。
6. 数据库权限最小化
除了过滤用户输入，限制数据库用户的权限也是一种有效的安全措施。通过遵循最小权限原则，我们可以减少攻击者即便成功进行SQL注入时的危害。
- 数据库用户仅应拥有执行必要任务所需的权限。例如，某个用户仅需要读取数据而不需要修改数据时，应该只分配
SELECT权限。 - 创建不同的数据库用户用于不同的操作场景。比如，读取数据使用只读用户，插入和修改数据使用具有写权限的用户。
示例：最小权限管理
-- 创建一个只读用户
CREATE USER 'readonly_user'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT ON ecommerce_db.* TO 'readonly_user'@'localhost';
-- 创建一个写操作用户
CREATE USER 'write_user'@'localhost' IDENTIFIED BY 'password';
GRANT INSERT, UPDATE, DELETE ON ecommerce_db.* TO 'write_user'@'localhost';
通过最小化数据库用户的权限，即使攻击者成功注入了恶意SQL语句，所造成的危害也会被限制在用户权限范围内。
7. 使用ORM框架防止SQL注入
在Java开发中，使用ORM（对象关系映射）框架如Hibernate、MyBatis等，也是一种常见的防止SQL注入的方式。这些框架通过ORM机制将Java对象与数据库表映射，开发者无需手动拼接SQL语句，从而减少了SQL注入的可能性。
MyBatis示例：防止SQL注入
xml复制代码<select id="getOrderById" parameterType="String" resultType="Order">
SELECT * FROM orders WHERE order_id = #{orderId}
</select>
在MyBatis中，#{}表示占位符，系统会自动将orderId作为参数传入查询，避免手动拼接SQL，从而防止SQL注入。
8. 总结
SQL注入是Web应用程序中最常见且最危险的安全漏洞之一，尤其是在涉及数据库操作的场景下，如电商交易系统。通过使用PreparedStatement、严格的输入验证、最小权限原则以及使用ORM框架等方法，我们可以有效防止SQL注入攻击。开发人员需要养成良好的编码习惯，始终考虑潜在的安全问题，确保应用程序的安全性。