内容摘要：上周帮朋友排查一个商城系统，后台登录框被灌了上万条记录，数据库差点崩了。查了日志，攻击者用的就是最经典的万能密码：' OR '1'='1。这玩意儿十年前就该绝迹了，可现实是——只要还有人在写字符串拼接

上周帮朋友排查一个商城系统，洞修后台登录框被灌了上万条记录，洞修数据库差点崩了。洞修查了日志，洞修攻击者用的洞修就是最经典的万能密码：' OR '1'='1。这玩意儿十年前就该绝迹了，洞修可现实是洞修——只要还有人在写字符串拼接SQL，它就永远有市场。洞修

SQL注入的洞修本质，说白了就是洞修你把自己的数据库操作权限当成了公共厕所，谁都能进。洞修攻击者往输入框里塞一段精心构造的洞修字符，你的洞修程序老老实实地把它拼进SQL语句里执行了。服务器不认人，洞修它只认指令。洞修所以修补的核心逻辑就一句话：把数据和代码彻底分开，别让用户输入有机会成为SQL语法的一部分。

最有效的修补手段，就是参数化查询。拿Java的PreparedStatement举例，你预先定义好SQL骨架，用问号占位，然后单独把参数传进去。数据库端会把这些参数当纯数据处理，而不是可执行的代码片段。就这么简单。PHP里用PDO的预处理，Python里用cursor.execute带参数，原理都一样。我见过不少开发者嫌麻烦，觉得直接拼字符串更直观——省那两行代码的时间，可能换来的是整个库被拖走。

但参数化不是万能的。有些场景，比如动态表名、动态排序字段，预处理就帮不上忙了。这时候你得自己做白名单校验。我之前处理过一个报表模块，用户能选排序字段，后端直接拼了ORDER BY。修补方案是建一个允许字段的数组，用户传进来的值必须在这个数组里才放行，否则直接拒绝。宁可功能少一点，也别留个口子让人钻。

还有一类容易被忽略的注入点——搜索框的模糊查询。如果用了LIKE '%keyword%'，用户输入的百分号和下划线会被当作通配符处理，虽然不直接构成SQL注入，但能拖慢查询速度，严重的能把数据库CPU打满。修补办法很简单：转义掉这几个特殊字符。别觉得这是小事，我见过有站点就因为这个被人用通配符轰炸到宕机。

光修代码还不够，你得假设代码里总有漏网之鱼。数据库账号权限要收紧，连接数据库的账号别一上来就给DBA权限。只读操作给只读账号，写操作给最小权限的账号。就算注入成功了，攻击者能干的也有限。另外，错误信息别直接抛给用户。数据库报错长得跟说明书似的，那是在给攻击者递刀子。

最后说个实操细节。修完漏洞，拿SQLMap跑一遍，别光测几个常见payload就完事。SQLMap会尝试各种编码绕过，比如十六进制、注释符分割、大小写混写。你觉得自己修好了，一跑发现还有变种能穿过去——这种事儿我碰上不止一次。测试的时候，把报错日志打开，看看有没有异常SQL语句混进来。

修补SQL注入不靠什么高深技术，靠的是习惯。每次写SQL前停两秒，问自己一句：这段数据会经过用户的手吗？只要答案是肯定的，就走参数化。养成这个习惯，比装十个防火墙都管用。