【MySQL安全】什么是SQL注入,怎么避免这种攻击:前端防护、后端orm框架、数据库白名单

基本概念

SQL注入是OWASP Top 10安全风险之一,它利用了应用程序对用户输入数据的不当处理。当应用程序直接将用户输入拼接到SQL查询中而没有进行适当的过滤或转义时,就可能发生SQL注入攻击。

攻击原理

假设有一个登录表单的SQL查询:

sql 复制代码
SELECT * FROM users WHERE username = '[用户输入的用户名]' AND password = '[用户输入的密码]'

如果攻击者输入:

sql 复制代码
用户名: admin' --
密码: 任意

实际执行的SQL变为:

sql 复制代码
SELECT * FROM users WHERE username = 'admin' --' AND password = '任意'

--是SQL注释符号,使得密码检查被忽略,攻击者可以无需密码就以admin身份登录。

防御措施

现代的web系统基本上很难出现sql注入

  1. 可以从前端进行防护,检验用户名是否有非法字符,如'-' 等

  2. 即使前端防护过了,后端也不会写显式sql,一般会用一些orm框架,就是把数据库中的表当作类,每一行就是一个类的实例

这样做有2个好处,一是可以防止sql注入,因为你会发现,在这个例子中本质上是利用了字符串的拼接。二是提供了更上一层的抽象,每个数据库虽然都是遵循sql标准,但是各个语法都会有些许差别,假如你的系统从mysql迁移到oracle数据库,那写显式sql你就必须更改每一条语句。一个系统中的查询逻辑可能多达几千条,难道一条一条改嘛,所以现代的web系统都增加orm框架

  1. 就是从数据库角度进行防护,比如白名单,我定义好有哪些语句可以查询,sql注入本质上是更改了查询的逻辑,更改后的不在白名单里,根本不让你查。

所以现代web系统基本上不会存在sql注入的风险

orm框架

java 复制代码
@Entity                  //这个类是一个 JPA 实体,对应数据库中的一张表。
@Table(name = "users")   //显式指定该类映射到数据库中的表名为 users    
public class User {
    @Id                  //标注 id 字段是表的主键
    private Long id;
    private String name;
}


Query<User> query = session.createQuery(    

    "FROM User WHERE name = :name", User.class
);
query.setParameter("name", inputName);  

这个是java语法,就是数据库中有一个user表,表中有两个字段,id和name,我把这个表抽象成一个类,查询的时候输入用户名,用User.name的私有成员代替,避免字符串直接拼接。

现在每一个后端语言,都有orm框架,甚至在这个框架之上又衍伸出来更高一层的框架,比如java的mybatis等等。

相关推荐
babytiger1 小时前
如何将yolo训练图像数据库的某个分类的图像取出来
数据库·yolo·分类
iphone1083 小时前
企业内部机密视频安全保护|如何防止企业内部机密视频泄露?
安全·音视频·视频加密·加密技术·视频安全·企业机密·机密视频
九皇叔叔4 小时前
【7】SQL 语句基础应用
数据库·sql·mysql
HenrySmale5 小时前
05 网络信息内容安全--对抗攻击技术
网络·安全
IAR Systems5 小时前
在IAR Embedded Workbench for Arm中实现Infineon TRAVEO™ T2G安全调试
开发语言·arm开发·安全·嵌入式软件开发·iar
小云数据库服务专线6 小时前
GaussDB 数据库架构师修炼(十八) SQL执行引擎-概述
sql·数据库架构·gaussdb
原点安全6 小时前
某供应链金融公司多场景敏感数据安全保护实践
安全
麦聪聊数据6 小时前
能源行业数据库远程运维安全合规实践:Web化平台的落地经验
运维·数据库·sql·安全·数据服务
上海控安6 小时前
上海控安:汽车API安全-风险与防护策略解析
网络·安全·汽车
喔烨鸭6 小时前
前后端分离情况下,将本地vue项目和Laravel项目以及mysql放到自己的云服务器
vue.js·mysql·laravel