即使是大型科技公司，也仍然受到软件和Web漏洞的困扰，其中SQL注入是最常见、最危险的漏洞之一。在MITRE最近列出的近两年最常见和最危险的25个软件漏洞中（见下图），SQL注入漏洞排名第六：以下是降低SQL注入漏洞风险的三种方法：零信任方法首先确保客户端输入验证不是唯一的防线。这种验证是改善用户体验的重要工具，但不能用作安全机制。因为，通过更改浏览器中加载的JavaScript代码，或者通过使用导致SQL注入的参数对客户端-服务器架构中的后端进行基本HTTP调用，可以轻松删除客户端验证。所以开发者应该在服务器端进行认证，尽可能靠近源头；开发人员还应仔细考虑数据库用户权限，所有SQL注入攻击都是有害的，但有些攻击比其他攻击更危险：访问用户信息是一个改变或删除信息是另一回事，应该考虑是否真的有必要特定应用程序能够截断或删除数据。除了不允许每个应用程序拥有一个数据库供其使用之外，每个应用程序只有一个数据库用户也是不明智的。应创建多个数据库用户并连接到特定的应用程序进行角色划分，以防止攻击者快速接管整个数据库。参数是最好的防御提高软件安全性的一个关键方法是使用准备好的语句和查询参数化。固定语句限制了可以输入的SQL语句：开发人员创建一个带有占位符的基本查询，然后用户给定的参数可以安全地附加到这些占位符。当使用准备好的语句和参数化查询时，数据库首先根据带有占位符的查询字符串构建查询执行计划，然后将（不可信）参数发送到数据库。使用存储过程时参数化也很重要。与在应用程序中创建的任何SQL查询一样，存储过程也可能被恶意注入。因此，与SQL查询一样，开发人员应该在其存储过程中参数化查询，而不是连接参数，以防止注入。但是，在某些情况下，准备好的语句不可用。例如，如果一种语言不支持准备好的语句，或者旧数据库不允许开发人员提供用户输入作为参数，那么输入验证是一个可接受的替代方案。但是团队应该确保输入验证依赖于使用维护良好的库或创建规则来描述所有允许的模式，例如，使用正则表达式。当然，即使罐装语句可用，也需要输入验证。多层安全和严格检查除了参数化和输入验证之外，开发人员还应考虑使用对象关系映射(ORM)层来防止SQL注入。将数据从数据库转换为对象，反之亦然，从而降低显式SQL查询和SQL注入攻击的风险。但是，需要注意的是，如果使用了错误或过时的Sequelize或Hibernate版本，仍然会在ORM库中产生漏洞，因此开发人员必须保持警惕。最终，无论部署什么安全策略，都必须有一个严格的审查系统来审查代码并标记任何漏洞。代码审查和结对编程确实允许这样做，但人工审查过程中总是会出现错误。为了获得最高级别的安全性，开发人员应该寻找旨在自动检查SQL注入漏洞并提醒他们代码中的任何弱点的扫描工具。【本文为专栏作者“安安牛”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此查看作者更多好文
