在当今数字化时代，数据库安全至关重要，而 SQL 注入是数据库面临的常见且极具威胁性的安全漏洞之一。攻击者可以通过构造恶意的 SQL 语句来绕过应用程序的身份验证和授权机制，从而获取、修改或删除数据库中的敏感信息。为了有效防止 SQL 注入，选择合适的查询方式至关重要。不同的场景下，需要采用不同的查询方式来确保数据库的安全性。本文将详细介绍在不同场景下如何选择防止 SQL 注入的查询方式。
1. 简单查询场景：使用参数化查询
在简单的查询场景中，如根据用户输入的单个条件进行数据查询，参数化查询是一种非常有效的防止 SQL 注入的方法。参数化查询将 SQL 语句和用户输入的数据分开处理，数据库系统会自动对用户输入的数据进行转义，从而避免恶意 SQL 代码的注入。
以 Python 和 MySQL 为例，使用 "mysql-connector-python" 库实现参数化查询的代码如下：
import mysql.connector
# 连接数据库
mydb = mysql.connector.connect(
host="localhost",
user="yourusername",
password="yourpassword",
database="yourdatabase"
)
# 创建游标对象
mycursor = mydb.cursor()
# 用户输入
user_input = "John"
# 定义 SQL 语句，使用占位符
sql = "SELECT * FROM users WHERE name = %s"
val = (user_input,)
# 执行查询
mycursor.execute(sql, val)
# 获取查询结果
results = mycursor.fetchall()
# 输出结果
for row in results:
print(row)
# 关闭游标和数据库连接
mycursor.close()
mydb.close()在上述代码中，"%s" 是占位符，用于表示用户输入的数据。"execute" 方法的第二个参数是一个元组，包含了用户输入的数据。数据库系统会自动对用户输入的数据进行转义，从而防止 SQL 注入。
2. 复杂查询场景：使用存储过程
在复杂的查询场景中，如涉及多个表的连接查询、复杂的条件判断等，使用存储过程是一种更好的选择。存储过程是一组预编译的 SQL 语句，存储在数据库中，可以通过调用存储过程来执行复杂的查询操作。由于存储过程的代码是预编译的，用户输入的数据只能作为参数传递，无法直接修改存储过程的代码，从而有效防止 SQL 注入。
以 SQL Server 为例，创建和调用存储过程的代码如下：
-- 创建存储过程
CREATE PROCEDURE GetUserInfo
@username NVARCHAR(50)
AS
BEGIN
SELECT * FROM users WHERE username = @username;
END;
-- 调用存储过程
EXEC GetUserInfo 'John';在上述代码中，创建了一个名为 "GetUserInfo" 的存储过程，该存储过程接受一个参数 "@username"，并根据该参数查询用户信息。在调用存储过程时，用户输入的数据作为参数传递给存储过程，无法直接修改存储过程的代码，从而有效防止 SQL 注入。
3. 动态查询场景：使用白名单过滤
在动态查询场景中，如根据用户选择的条件动态生成 SQL 语句，使用白名单过滤是一种有效的防止 SQL 注入的方法。白名单过滤是指只允许用户输入预定义的合法值，对于不在白名单中的值，直接拒绝处理。
以 PHP 和 MySQL 为例，使用白名单过滤的代码如下：
<?php
// 连接数据库
$conn = new mysqli("localhost", "yourusername", "yourpassword", "yourdatabase");
// 检查连接是否成功
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// 用户输入
$user_input = $_GET['category'];
// 定义白名单
$whitelist = array('electronics', 'clothing', 'books');
// 检查用户输入是否在白名单中
if (in_array($user_input, $whitelist)) {
// 生成 SQL 语句
$sql = "SELECT * FROM products WHERE category = '$user_input'";
// 执行查询
$result = $conn->query($sql);
// 输出结果
if ($result->num_rows > 0) {
while($row = $result->fetch_assoc()) {
echo "Product: " . $row["name"]. "
";
}
} else {
echo "No products found.";
}
} else {
echo "Invalid input.";
}
// 关闭数据库连接
$conn->close();
?>在上述代码中，定义了一个白名单 "$whitelist"，包含了合法的分类值。在处理用户输入时，首先检查用户输入是否在白名单中，如果是，则生成 SQL 语句并执行查询；否则，直接输出错误信息。通过使用白名单过滤，可以有效防止用户输入恶意的 SQL 代码。
4. 批量添加场景：使用批量参数化查询
在批量添加场景中，如一次性添加多条记录，使用批量参数化查询可以提高添加效率，同时防止 SQL 注入。批量参数化查询是指将多条记录的数据作为参数一次性传递给数据库，数据库系统会自动对这些数据进行转义，从而避免 SQL 注入。
以 Java 和 MySQL 为例，使用批量参数化查询的代码如下：
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.SQLException;
public class BatchInsertExample {
public static void main(String[] args) {
String url = "jdbc:mysql://localhost:3306/yourdatabase";
String user = "yourusername";
String password = "yourpassword";
try (Connection conn = DriverManager.getConnection(url, user, password)) {
// 定义 SQL 语句
String sql = "INSERT INTO users (name, age) VALUES (?, ?)";
PreparedStatement pstmt = conn.prepareStatement(sql);
// 准备批量数据
String[][] data = {
{"John", "25"},
{"Jane", "30"},
{"Bob", "35"}
};
// 批量添加数据
for (String[] row : data) {
pstmt.setString(1, row[0]);
pstmt.setString(2, row[1]);
pstmt.addBatch();
}
// 执行批量添加
pstmt.executeBatch();
System.out.println("Data inserted successfully.");
} catch (SQLException e) {
e.printStackTrace();
}
}
}在上述代码中，使用 "PreparedStatement" 对象的 "addBatch" 方法将多条记录的数据添加到批量操作中，然后使用 "executeBatch" 方法一次性执行批量添加操作。数据库系统会自动对每条记录的数据进行转义，从而防止 SQL 注入。
5. 模糊查询场景：使用安全的模糊查询方式
在模糊查询场景中，如根据用户输入的关键字进行模糊匹配，需要使用安全的模糊查询方式来防止 SQL 注入。一种安全的模糊查询方式是在参数化查询的基础上，对用户输入的关键字进行处理，避免恶意的通配符注入。
以 Python 和 PostgreSQL 为例，使用安全的模糊查询方式的代码如下：
import psycopg2
# 连接数据库
conn = psycopg2.connect(
host="localhost",
database="yourdatabase",
user="yourusername",
password="yourpassword"
)
# 创建游标对象
cur = conn.cursor()
# 用户输入
user_input = "John%"
# 对用户输入的关键字进行处理
safe_input = "%" + user_input.replace("%", "").replace("_", "") + "%"
# 定义 SQL 语句，使用占位符
sql = "SELECT * FROM users WHERE name LIKE %s"
val = (safe_input,)
# 执行查询
cur.execute(sql, val)
# 获取查询结果
results = cur.fetchall()
# 输出结果
for row in results:
print(row)
# 关闭游标和数据库连接
cur.close()
conn.close()在上述代码中，对用户输入的关键字进行处理，去除其中的通配符 "%" 和 "_"，然后在关键字前后添加 "%" 进行模糊匹配。通过这种方式，可以有效防止恶意的通配符注入。
综上所述，不同的场景下需要选择不同的防止 SQL 注入的查询方式。在简单查询场景中，使用参数化查询；在复杂查询场景中，使用存储过程；在动态查询场景中，使用白名单过滤；在批量添加场景中，使用批量参数化查询；在模糊查询场景中，使用安全的模糊查询方式。通过合理选择查询方式，可以有效防止 SQL 注入，确保数据库的安全性。
