遇到的问题：Caused by: java.sql.SQLException: sql injection violation, dbType mysql, druid-version 1.2.8, part alway true condition not allow :
发现是因为加了WallFilter，SQL有问题，所以做了简单的了解
WallFilter的功能是防御SQL注入攻击。它是基于SQL语法分析，理解其中的SQL语义，然后做处理的，智能，准确，误报率低。
SQL注入攻击
SQL注入攻击是黑客对数据库进行攻击的常用手段之一。随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。
多租户隔离
使用WallFilter能让Select/Delete/Update的SQL自动加上租户隔离字段。
WallFilter目前支持哪些数据库？
WallFilter针对不同的数据库使用不同的SQL Parser和相关配置信息，力求完整理解其SQL语义，从而做更准确的防御手段。Druid目前支持mysql和oracle、sql server，下一步会支持postgres。
性能
WallFilter在运行之后，会使用LRU Cache算法维护一个白名单列表，白名单最多1000个SQL。正常的SQL在白名单中，每次检测只需要一次加锁和一次hash查找，预计在50 nano以内。在白名单之外的SQL检测，预计在50微秒以内。
配置
配置 wallfilter
JohnC edited this page on 9 Jun 2020 · 45 revisionsPages 78
- Home
- Benchmark_aliyun
- Contributors
- DBCP迁移
- Druid Change Log
- druid monitor设计
- Druid_SQL_AST
- DruidDataSource
- DruidDataSource动态配置
- DruidDataSource统计数据日志输出格式
- DruidDataSource配置
- DruidDataSource配置属性列表
- Druid中使用log4j2进行日志输出
- Druid连接池介绍
- Druid锁的公平模式问题
Clone this wiki locally
这个文档提供基于Spring的各种配置方式
使用缺省配置的WallFilter
<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" init-method="init" destroy-method="close">
...
<property name="filters" value="wall"/>
</bean>
结合其他Filter一起使用
WallFilter可以结合其他Filter一起使用，例如：
<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" init-method="init" destroy-method="close">
...
<property name="filters" value="wall,stat"/>
</bean>
这样，拦截检测的时间不在StatFilter统计的SQL执行时间内。
如果希望StatFilter统计的SQL执行时间内，则使用如下配置
<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" init-method="init" destroy-method="close">
...
<property name="filters" value="stat,wall"/>
</bean>
指定dbType
有时候，一些应用框架做了自己的JDBC Proxy Driver，是的DruidDataSource无法正确识别数据库的类型，则需要特别指定，如下：
<bean id="wall-filter" class="com.alibaba.druid.wall.WallFilter">
<property name="dbType" value="mysql" />
</bean>
<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" init-method="init" destroy-method="close">
...
<property name="proxyFilters">
<list>
<ref bean="wall-filter"/>
</list>
</property>
</bean>
指定配置装载的目录
缺省情况下，配置装载的目录如下：
| 数据库类型 | 目录 |
|---|---|
| mysql | META-INF/druid/wall/mysql |
| oracle | META-INF/druid/wall/oracle |
| sqlserver | META-INF/druid/wall/sqlserver |
| postgres | META-INF/druid/wall/postgres |
deny-variant.txt
deny-schema.txt
deny-function.txt
deny-table.txt
deny-object.txt
指定配置装载的目录是可以指定，例如：
<bean id="wall-filter-config" class="com.alibaba.druid.wall.WallConfig" init-method="init">
<!-- 指定配置装载的目录 -->
<property name="dir" value="META-INF/druid/wall/mysql" />
</bean>
<bean id="wall-filter" class="com.alibaba.druid.wall.WallFilter">
<property name="dbType" value="mysql" />
<property name="config" ref="wall-filter-config" />
</bean>
<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" init-method="init" destroy-method="close">
...
<property name="proxyFilters">
<list>
<ref bean="wall-filter"/>
</list>
</property>
</bean>
WallConfig详细说明
本身的配置
| 配置项 | 缺省值 |
|---|---|
| dir | 按照dbType分别配置: mysql : META-INF/druid/wall/mysql oracle : META-INF/druid/wall/oracle sqlserver : META-INF/druid/wall/sqlserver |
拦截配置－语句
| 配置项 | 缺省值 | 描述 |
|---|---|---|
| selelctAllow | true | 是否允许执行SELECT语句 |
| selectAllColumnAllow | true | 是否允许执行SELECT * FROM T这样的语句。如果设置为false，不允许执行select * from t，但select * from (select id, name from t) a。这个选项是防御程序通过调用select *获得数据表的结构信息。 |
| selectIntoAllow | true | SELECT查询中是否允许INTO字句 |
| deleteAllow | true | 是否允许执行DELETE语句 |
| updateAllow | true | 是否允许执行UPDATE语句 |
| insertAllow | true | 是否允许执行INSERT语句 |
| replaceAllow | true | 是否允许执行REPLACE语句 |
| mergeAllow | true | 是否允许执行MERGE语句，这个只在Oracle中有用 |
| callAllow | true | 是否允许通过jdbc的call语法调用存储过程 |
| setAllow | true | 是否允许使用SET语法 |
| truncateAllow | true | truncate语句是危险，缺省打开，若需要自行关闭 |
| createTableAllow | true | 是否允许创建表 |
| alterTableAllow | true | 是否允许执行Alter Table语句 |
| dropTableAllow | true | 是否允许修改表 |
| commentAllow | false | 是否允许语句中存在注释，Oracle的用户不用担心，Wall能够识别hints和注释的区别 |
| noneBaseStatementAllow | false | 是否允许非以上基本语句的其他语句，缺省关闭，通过这个选项就能够屏蔽DDL。 |
| multiStatementAllow | false | 是否允许一次执行多条语句，缺省关闭 |
| useAllow | true | 是否允许执行mysql的use语句，缺省打开 |
| describeAllow | true | 是否允许执行mysql的describe语句，缺省打开 |
| showAllow | true | 是否允许执行mysql的show语句，缺省打开 |
| commitAllow | true | 是否允许执行commit操作 |
| rollbackAllow | true | 是否允许执行roll back操作 |
| 配置项 | 缺省值 | 描述 |
| selectWhereAlwayTrueCheck | true | 检查SELECT语句的WHERE子句是否是一个永真条件 |
| selectHavingAlwayTrueCheck | true | 检查SELECT语句的HAVING子句是否是一个永真条件 |
| deleteWhereAlwayTrueCheck | true | 检查DELETE语句的WHERE子句是否是一个永真条件 |
| deleteWhereNoneCheck | false | 检查DELETE语句是否无where条件，这是有风险的，但不是SQL注入类型的风险 |
| updateWhereAlayTrueCheck | true | 检查UPDATE语句的WHERE子句是否是一个永真条件 |
| updateWhereNoneCheck | false | 检查UPDATE语句是否无where条件，这是有风险的，但不是SQL注入类型的风险 |
| conditionAndAlwayTrueAllow | false | 检查查询条件(WHERE/HAVING子句)中是否包含AND永真条件 |
| conditionAndAlwayFalseAllow | false | 检查查询条件(WHERE/HAVING子句)中是否包含AND永假条件 |
| conditionLikeTrueAllow | true | 检查查询条件(WHERE/HAVING子句)中是否包含LIKE永真条件 |
其他拦截配置
| 配置项 | 缺省值 | 描述 |
| selectIntoOutfileAllow | false | SELECT ... INTO OUTFILE 是否允许，这个是mysql注入攻击的常见手段，缺省是禁止的 |
| selectUnionCheck | true | 检测SELECT UNION |
| selectMinusCheck | true | 检测SELECT MINUS |
| selectExceptCheck | true | 检测SELECT EXCEPT |
| selectIntersectCheck | true | 检测SELECT INTERSECT |
| mustParameterized | false | 是否必须参数化，如果为True，则不允许类似WHERE ID = 1这种不参数化的SQL |
| strictSyntaxCheck | true | 是否进行严格的语法检测，Druid SQL Parser在某些场景不能覆盖所有的SQL语法，出现解析SQL出错，可以临时把这个选项设置为false，同时把SQL反馈给Druid的开发者。 |
| conditionOpXorAllow | false | 查询条件中是否允许有XOR条件。XOR不常用，很难判断永真或者永假，缺省不允许。 |
| conditionOpBitwseAllow | true | 查询条件中是否允许有"&"、"~"、"|"、"^"运算符。 |
| conditionDoubleConstAllow | false | 查询条件中是否允许连续两个常量运算表达式 |
| minusAllow | true | 是否允许SELECT * FROM A MINUS SELECT * FROM B这样的语句 |
| intersectAllow | true | 是否允许SELECT * FROM A INTERSECT SELECT * FROM B这样的语句 |
| constArithmeticAllow | true | 拦截常量运算的条件，比如说WHERE FID = 3 - 1，其中"3 - 1"是常量运算表达式。 |
| limitZeroAllow | false | 是否允许limit 0这样的语句 |
| selectLimit | -1 | 配置最大返回行数，如果select语句没有指定最大返回行数，会自动修改selct添加返回限制 |
禁用对象检测配置
| 配置项 | 缺省值 | 描述 |
| tableCheck | true | 检测是否使用了禁用的表 |
| schemaCheck | true | 检测是否使用了禁用的Schema |
| functionCheck | true | 检测是否使用了禁用的函数 |
| objectCheck | true | 检测是否使用了“禁用对对象” |
| variantCheck | true | 检测是否使用了“禁用的变量” |
| readOnlyTables | 空 | 指定的表只读，不能够在SELECT INTO、DELETE、UPDATE、INSERT、MERGE中作为"被修改表"出现< |
Jdbc相关配置
| 配置项 | 缺省值 | 描述 |
| metadataAllow | true | 是否允许调用Connection.getMetadata方法，这个方法调用会暴露数据库的表信息 |
| wrapAllow | true | 是否允许调用Connection/Statement/ResultSet的isWrapFor和unwrap方法，这两个方法调用，使得有办法拿到原生驱动的对象，绕过WallFilter的检测直接执行SQL。 |
WallFilter配置说明
| 配置项 | 缺省值 | 描述 |
| logViolation | false | 对被认为是攻击的SQL进行LOG.error输出 |
| throwException | true | 对被认为是攻击的SQL抛出SQLException |
| config | ||
| provider |