避免SQL注入漏洞的實用技巧

隨着互聯網業務的迅速發展，Web應用就成為了人們工作、生活中不可缺少的一部分。而 Web 應用的開發求快、求快速迭代，常常導致 Web 應用中 SQL 注入等漏洞的出現。SQL 注入攻擊能夠破壞數據庫完整性、泄露敏感數據、進行惡意操作等，嚴重危害了 Web 應用的安全性。因此，如何避免 SQL 注入漏洞，保障 Web 應用的安全性成為了 Web 開發中的一大難點。

一、選擇合適的數據庫訪問API

使用安全的、經過充分測試的數據庫訪問 API 是防止 SQL 注入攻擊的基礎。正規的數據庫API都會提供SQL防注入的解決方案，比如基於C/C++封裝的mysql庫提供的`mysql_real_escape_string`方法可以對字符串類型進行安全的SQL過濾。在這裡，我們以Java語言為例，介紹JDBC API下的預編譯語句來避免SQL注入問題的發生。下面是一個基於JDBC API預編譯語句的代碼樣例：

    Connection conn = null;
    PreparedStatement pst = null;
    ResultSet rs = null;
    try {
        conn = DriverManager.getConnection(url, name, password);
        String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
        pst = conn.prepareStatement(sql);
        pst.setString(1, username);
        pst.setString(2, password);
        rs = pst.executeQuery();
        while (rs.next()) {
            //處理結果集
        }
    } catch (SQLException e) {
        e.printStackTrace();
    } finally {
        try {
            if (rs != null) {
                rs.close();
            }
            if (pst != null) {
                pst.close();
            }

            if (conn != null) {
                conn.close();
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

通過將SQL語句預定義好，再將值與語句分離開來，可以明確標識哪些地方是需要轉義的。這樣可以避免惡意輸入中有SQL突破到我們的SQL命令而執行。同樣的預編譯語句由於在執行的時候會先進性語法樹編譯後才執行，因此也節省了函數調用+SQL執行的時間，效率上也更能滿足實際應用需求。

二、輸入驗證和過濾

輸入驗證和過濾是 Web 開發中防止 SQL 注入漏洞的重要手段。通過有效的驗證和過濾，可以防止惡意用戶構造惡意的 SQL 語句，從而保障 Web 應用的安全性。下面我們分別介紹輸入驗證和過濾的一些實用技巧。

a. 輸入驗證

輸入驗證是指在用戶提交數據之前，對用戶提交的數據進行格式檢查和邏輯檢查。在 Web 應用中，輸入驗證的實現主要有兩種方式：前端驗證和後端驗證。

前端驗證通常使用 JavaScript 來實現。前端驗證的優點是可以在用戶輸入數據時就進行實時驗證，提高了用戶體驗。但前端驗證也有一定缺點，比如前端校驗可以被繞開，因此不能單獨依賴前端驗證保證安全；前端驗證也不能保證驗證邏輯的完整性。因此，前端驗證只應該作為補充，後端驗證才是保障數據安全的最重要的手段。

後端驗證通常使用正則表達式、字符串轉換等算法來實現。通過對數據進行格式化和轉換，可以保證數據符合規定的格式，在存儲到數據庫時，也就避免了 SQL 注入漏洞帶來的風險。下面是一個基於Java的輸入合法性校驗示例代碼：

/**
 * 驗證當前字符串是否為合法的郵箱
 *
 * @param email 郵箱字符串
 * @return 是否為合法郵箱
 */
public static boolean isValidEmail(String email) {
    if (email == null || email.length() == 0) {
        return false;
    }
    String regex = "^(([\\w-]+\\.)+[\\w-]+|([a-zA-Z]{1}|[\\w-]{2,}))@"
            + "(([0-9]{1,3}\\.){3}[0-9]{1,3}"
            + "|"
            + "([a-zA-Z]{2,4}|[0-9]{1,3})(\\.[a-zA-Z]{2,4}){1,2})$";
    return email.matches(regex);
}

b. 輸入過濾

輸入過濾是指在 Web 應用中，通過將一些特定的字符進行屏蔽或者替換來避免 SQL 注入漏洞的發生。輸入過濾主要分為兩類：字符過濾和關鍵字過濾。

字符過濾通常使用一些正則表達式來實現，通過將一些特定的字符進行屏蔽或者替換來達到過濾掉惡意 SQL 注入語句的目的。字符過濾通常是以黑名單的方式實現，即指定一些需要過濾掉的字符，比如「』」、「-」等。

關鍵字過濾是指將 SQL 語句中的一些關鍵字進行過濾或者替換。關鍵字過濾通常是以白名單的方式實現，即只允許指定的關鍵字出現在 SQL 語句中。關鍵字過濾也可以通過正則表達式進行實現，比如將 SQL 語句中的「select」替換成「s_e_l_e_c_t」。

三、使用 ORM 框架

ORM（Object Relational Mapping）框架是一種在面向對象編程語言和關係數據庫之間建立映射的編程技術，簡單來說就是將數據庫表映射成對象，通過對象操作數據庫表。ORM 框架是一種非常優秀的數據庫訪問方式，不僅可以提高代碼的復用性、可維護性和可擴展性，還可以有效地避免 SQL 注入漏洞的發生。下面我們以 Java 語言為例，介紹如何使用 MyBatis ORM 框架避免 SQL 注入漏洞。

MyBatis 是一個優秀的 ORM 框架，它可以將 SQL 語句和數據庫訪問過程進行解耦，同時支持動態 SQL 語句，在實際的 Web 開發中得到了廣泛的應用。下面是使用 MyBatis ORM 框架的代碼示例：

<mapper namespace="com.example.UserMapper">
    <select id="getUserByNameAndPassword" parameterType="com.example.User"
        resultType="com.example.User">
        SELECT * FROM users WHERE username = #{username} AND password = #{password}
    </select>
</mapper>

// Java 代碼
public class UserMapper {
    public User getUserByNameAndPassword(User user) throws Exception {
        SqlSession sqlSession = MyBatisUtil.getSqlSession();
        try {
            return sqlSession.selectOne("com.example.UserMapper.getUserByNameAndPassword", user);
        } finally {
            sqlSession.close();
        }
    }
}

使用 MyBatis ORM 框架可以將 SQL 語句和 Java 代碼進行分離，避免了 SQL 注入漏洞的發生。同時，MyBatis 也支持預編譯語句和輸入過濾等功能，更加安全可靠。在使用 MyBatis ORM 框架時，需要注意的是語句的動態拼接，盡量不要使用字符串拼接的方式，這樣容易導致 SQL 注入漏洞的發生。