防止注入

凌晨三点，防止注入数据库报警短信把我从床上拽起来。防止注入某个后台管理系统的防止注入登录接口，被人塞进了一长串`' OR '1'='1`。防止注入日志显示，防止注入攻击者用这个经典得近乎古老的防止注入SQL注入手法，在十分钟内尝试了四千次。防止注入结果呢？防止注入系统没被攻破，因为半年前我逼着开发组把所有SQL语句改成了参数化查询。防止注入但那天晚上我盯着日志，防止注入后背还是防止注入发凉——如果当时偷了懒，现在躺在服务器里的防止注入可能就是勒索软件了。

注入攻击的防止注入本质，说穿了就是防止注入信任。你写了个输入框，防止注入老老实实等着用户填用户名，结果人家填进来的是代码。程序傻乎乎地照单全收，把用户输入和SQL语句拼在一起，执行了。就这么简单。很多开发者觉得这是老黄历了，可OWASP每年公布的Top 10漏洞里，注入始终占着前排座位。去年某家云服务商泄露用户数据，事后分析报告里写得明白：一个没做转义的文件上传参数，让攻击者往服务器写了个JSP木马。技术栈换了一茬又一茬，人犯的错倒是挺专一。

防注入这事儿，最靠谱的招数其实最朴素。第一道防线永远是参数化查询——把SQL结构固定住，用户输入只当纯数据传进去，不给它当代码的机会。这招对付SQL注入，就像给数据库装了道只认钥匙不认口令的门。但别以为这就完事了。ORM框架用不好照样漏，有人图省事写原生查询拼接字符串，框架的保护伞就白打了。我见过最离谱的案例，是某团队用MyBatis时图方便，把动态表名直接拼进SQL——参数化查询救不了表名，那地方只能白名单校验。

注入不只是SQL的专利。操作系统命令注入、LDAP注入、XSS（本质上是HTML/JavaScript注入），全是同一个祖宗。去年有个智能硬件厂商，他们的设备管理页面把用户输入的MAC地址直接拼进shell命令去ping，结果被人用分号隔开塞了条`reboot`指令——整栋楼的设备当晚集体重启。你说他们冤不冤？明明加个正则校验就能挡住的事。

我自己的经验是，与其指望开发者个个自觉，不如把防线埋进框架里。现在写代码，我强制要求所有外部输入先过一层白名单校验——长度、格式、字符集，全限制死。剩下没法用白名单搞定的，再交给参数化查询或转义函数处理。这规矩立了三年，线上再没出过一起注入漏洞。有时候同事嫌麻烦，说就一个内部工具，校验那么严干嘛。我直接甩给他看当年的攻击日志，那些凌晨三点的扫描请求，可不管你是内部还是外部。

安全这行当，最怕的就是觉得自己不会被打。攻击者手里的工具越来越自动化，一个初中生都能下载到SQLMap，对着你网站自动跑注入测试。你不把输入当敌人看，它就真变成敌人。防注入没有一劳永逸的银弹，但把基础功夫做扎实——参数化查询、严格校验、最小权限原则——那些脚本小子基本就拿你没辙了。剩下的，就靠点运气和警惕心，祈祷别碰上专门盯着你研究的狠角色。

(责任编辑：热点)