SQL注入

定义

SQL注入是一种通过构造恶意输入篡改后端SQL查询逻辑的攻击手段。当应用直接将用户输入拼接进SQL语句时,攻击者可改变查询的原有语义。[1]

原理

由于程序未区分代码与数据,精心构造的输入会被数据库当作SQL指令解析执行,从而绕过预期逻辑、访问或操纵本不应暴露的数据。

危害

• 泄露用户凭证、隐私等敏感数据。
• 非法篡改或删除数据库记录。
• 在严重场景下危及服务器安全。

防护

• 参数化查询:使用预编译语句,避免拼接SQL。
• 最小权限:数据库账户仅授予必要权限。
• 输入校验:对类型与格式严格约束。
• 借助ORM框架与WAF进一步降低风险。