SQL注入攻击是Web安全领域历史最悠久、危害最大的攻击方式之一。简单来说，攻击者通过在用户输入中嵌入恶意的SQL代码，让数据库服务器执行非预期的查询命令，从而达到窃取数据、篡改信息甚至控制服务器的目的。从OWASP的排名来看，SQL注入连续多年排在Web漏洞的前列。
SQL注入的核心原理
它的核心原理是应用程序在构建SQL查询语句时，直接将用户输入拼接到了查询字符串中，没有做任何过滤或转义处理。举个例子，一个登录页面的后台代码通常会拼出类似以下结构的查询：「SELECT * FROM users WHERE name='用户输入' AND pass='密码输入'」。如果攻击者在用户名输入框中填入「admin' OR 1=1 --」，拼接后的查询就变成了「SELECT * FROM users WHERE name='admin' OR 1=1 --' AND pass='...'」。OR 1=1让条件永远为真，后面的密码验证被注释符号直接屏蔽了，攻击者不需要密码就能登录系统。这就是最基础的SQL注入演示。
常见的几种注入方式
除了上面提到的基于字符串的注入，还有基于数字参数的注入，攻击者在数字参数中附加SQL语句。盲注是比较隐蔽的一种方式，攻击者无法直接看到查询结果，只能通过页面返回内容的差异来一点点推断数据，比如通过判断页面是否正常加载来猜测数据库中的字符内容。堆叠查询注入允许攻击者在一条语句后添加另一条独立语句，危害更大，比如在查询语句后追加「DROP TABLE users;」来删除整个用户表。时间盲注则利用数据库中的延时函数，通过观察服务器响应时间来判断条件是否成立。这些变形手段层出不穷，但本质都是利用了拼接查询的漏洞。
防御SQL注入的完整方案
防御SQL注入最有效的方法是使用参数化查询也叫预编译语句。它的原理是把SQL语句的结构和数据分开传递，数据库先编译SQL结构框架，再把参数作为纯数据填充进去。这样不管参数里包含什么恶意内容，都不会改变SQL的语义。所有主流编程语言和框架都支持参数化查询，比如Java的PreparedStatement、Python的数据库游标参数绑定、PHP的PDO预处理等，这是必须遵守的编码规范。
输入验证是重要的辅助手段，对用户输入的数据类型、长度、格式做严格校验，预期数字类型就只允许数字字符。最小权限原则同样关键，数据库账户只赋予业务所需的最小权限，禁止使用高权限账户连接Web应用。错误信息处理也不能马虎，不要把数据库错误的详细内容返回给用户，防止攻击者从中获取表名、字段名等信息。WAF能够识别和拦截常见的SQL注入特征，但它不能替代代码层的防御措施。真正的安全需要从开发阶段就建立防御意识，把安全编码变成团队的习惯。