前言

在编程中，SQL注入攻击，是一种利用未经适当处理的用户输入，通过篡改数据库查询语句来获取非授权数据或破坏数据库的一种攻击方式。

也就是说，攻击者通过在输入中插入恶意的SQL代码，让数据库执行不正常的操作，从而绕过应用程序的验证和控制，造成严重后果。

举一个例子，在大作业中，需要实现用户登录功能，用户通过输入用户名和密码登录系统。如果输入未经适当处理，攻击者可以尝试以下注入攻击：

用户输入的用户名： admin' OR '1'='1
用户输入的密码： anything

可以看到，攻击者试图将用户名设置为 admin' OR '1'='1，这会使查询变成：

go 复制代码

SELECT * FROM user WHERE user_name='admin' OR '1'='1' AND password='anything';

这将绕过验证（ '1'='1' 永远为真），攻击者可以成功登录而不需要有效的用户名和密码。这就是基本的 SQL 注入攻击，类似的还有很多。

保护用户数据是任何应用程序的首要任务之一。SQL注入攻击可能导致用户隐私数据被窃取，甚至可能使整个系统崩溃。因此，防止SQL注入攻击具有至关重要的意义。

这里介绍一下GORM库（Go Object Relational Mapping），一款受欢迎的Go语言ORM库，旨在简化数据库操作。它提供了对象与数据库表之间的映射，使开发人员能够用面向对象的方式来进行数据库操作，而不需要直接编写原始的SQL查询语句。

简单来说，就是简化与数据库的交互，是一种让数据库操作变得更加简单的工具。用于提高开发效率（也降低了出错的可能性）

防止 SQL 注入

当涉及到数据库操作时，使用参数绑定是一种安全的做法，可以有效地防止SQL注入攻击。参数绑定将用户输入作为查询的参数传递，而不是将其直接嵌入到查询字符串中，从而减少了恶意代码注入的风险。

在GORM中，参数绑定可以通过以下步骤来实现：

使用问号占位符： 在你的查询中，将变量部分用问号（?）代替。这些问号将作为参数的占位符，稍后会被实际的值替代。
将用户输入作为参数传递： 将用户输入的值作为参数传递给查询，而不是直接将其嵌入查询字符串中。这样，GORM将负责将参数正确地绑定到查询中，确保数据的安全传递。
GORM的处理： GORM会自动处理参数绑定的部分，确保输入值被正确地转义和绑定到查询中，从而防止SQL注入攻击。

举一个例子，假设我们要查询用户名为特定值的用户：

go 复制代码

package main

import (
    "fmt"
    "gorm.io/driver/mysql"
    "gorm.io/gorm"
)

type User struct {
    ID       uint
    Username string
}

func main() {
    dsn := "user:password@tcp(127.0.0.1:3306)/database_name?charset=utf8mb4&parseTime=True&loc=Local"
    db, err := gorm.Open(mysql.Open(dsn), &gorm.Config{})
    if err != nil {
        panic("Failed to connect to database")
    }

    // 用户输入作为参数
    username := "admin"

    var user User
    result := db.Where("username = ?", username).First(&user)

    if result.Error != nil {
        fmt.Println("User not found")
    } else {
        fmt.Println("User ID:", user.ID)
        fmt.Println("Username:", user.Username)
    }
}

可以看到，在这个示例中，直接使用db.Where("username = ?", username) 这样的语法，就会自动将 username 参数绑定到查询中，并使用预编译语句来执行查询。这样做能够有效地防止SQL注入攻击，因为GORM会处理参数的安全传递，而不是直接将用户输入嵌入到查询字符串中。这就不会受到SQL注入攻击的影响。

同时，我们要避免使用fmt.Sprintf 拼接查询语句。举一个例子：

go 复制代码

// 正确实践
db.First(&user, "username = ?", username)

// SQL 注入
db.First(&user, fmt.Sprintf("username = %v", username))

事实上，使用 fmt.Sprintf 来拼接查询语句是不安全的做法，因为这样的方式可能会导致SQL注入攻击。如果恶意用户输入了一个带有恶意SQL代码的字符串，这个恶意代码可能会被执行，从而造成严重后果。

另外，适当的类型检查与转换 也可以避免用户输入恶意的字符串。比如使用strconv.Atoi 将字符串转换为整数类型，如果转换失败则返回错误。

go 复制代码

// 用户输入作为参数
userInputID := "1=1;drop table users;"

// 使用类型检查转换为整数
id, err := strconv.Atoi(userInputID)
if err != nil {
	fmt.Println("Invalid input")
	return err
}

var user User
result := db.First(&user, id)

总结

本文介绍了SQL注入攻击的危害，并重申了保护用户数据的重要性。同时，介绍了一些防止 SQL 注入的操作，在开发过程中，我们应始终遵循最佳实践，保障用户数据安全。不断完善和加强安全措施。

安全：防止SQL注入攻击（实践记录） | 青训营

前言

防止 SQL 注入

总结