预防常见注入类问题的安全设计<\/h1>

1. 常见注入问题<\/h2>

1.1 SQL注入<\/h3>
SQL注入是发生于应用程序与数据库层的安全漏洞，攻击者在输入字符串中注入SQL指令。当程序忽略字符检查时，这些恶意指令会被数据库服务器误认为是正常SQL指令而执行。<\/p>

1.2 NoSQL注入<\/h3>
NoSQL注入是针对非关系数据库(如MongoDB、Cassandra DB等)的网络攻击。由于NoSQL数据库支持JavaScript等语言，攻击者可通过注入恶意代码获取或篡改数据。<\/p>

1.3 XSS(跨站脚本攻击)<\/h3>
XSS攻击发生在web应用程序未能清理包含脚本代码(通常是JavaScript)的用户输入时。攻击者提供包含恶意代码的文本字符串，由受害者的浏览器执行而非作为常规参数处理。<\/p>

1.4 命令注入<\/h3>
当web应用程序需要在底层操作系统中执行系统命令时，如果存在漏洞，攻击者可在用户输入中提供自己的操作系统命令，可能导致系统完全被破坏。<\/p>

1.5 XXE注入(XML外部实体注入)<\/h3>
当应用程序接受XML输入并配置为支持具有弱XML解析器安全性的遗留DTD时，攻击者可发送特制XML文档执行路径遍历、SSRF甚至远程代码执行。<\/p>

2. 安全设计解决方案<\/h2>

2.1 预编译解决SQL注入<\/h3>

预编译通过两次交互完成查询：<\/p>

第一次发送查询语句模板，由SQL引擎解析为AST或Opcode<\/li>

第二次发送数据，代入AST或Opcode中执行<\/li> <\/ol>

关键点：<\/strong><\/p>

使用占位符替代字段值<\/li>
表名和列名不能被占位符替代，若可控则可能引入漏洞<\/li>
MyBatis中应使用#{}<\/code>而非${}<\/code><\/li> <\/ul> MySQL实现：<\/strong><\/p> 普通PreparedStatement是假预编译，仅自动转义<\/li> 需在驱动url开启useServerPrepStmts<\/code>配置实现真正预编译<\/li> <\/ul> 2.2 XSS防护工具<\/h3> HTML过滤工具：<\/strong><\/p> 使用白名单\/黑名单过滤用户输入的HTML<\/li> 如DOMPurify工具<\/li> <\/ul> 响应头设置：<\/strong><\/p> X-Frame-Options<\/code>可选值：<\/p> DENY：页面不能被嵌入任何iframe\/frame<\/li> SAMEORIGIN：只能被本站页面嵌入<\/li> ALLOW-FROM：允许frame加载<\/li> <\/ul> <\/li> X-XSS-Protection<\/code>可选值：<\/p> 0：关闭XSS防护<\/li> 1：删除检测到的恶意代码(默认)<\/li> 1; mode=block：检测到恶意代码时不渲染<\/li> <\/ul> <\/li> <\/ul> 2.3 命令注入防护<\/h3> 不使用时禁用相应函数<\/li> 尽量避免执行外部应用程序或命令<\/li> 转义命令中的所有shell元字符(#&等)<\/li> <\/ul> 2.4 XXE防御<\/h3> Java XXE防护：<\/strong><\/p> DocumentBuilderFactory dbf =<\/span> DocumentBuilderFactory.<\/span>newInstance<\/span>();<\/span> <\/span><\/span>dbf.<\/span>setExpandEntityReferences<\/span>(<\/span>false<\/span>);<\/span> <\/span><\/span>dbf.<\/span>setFeature<\/span>(<\/span>"http:\/\/apache.org\/xml\/features\/disallow-doctype-decl"<\/span>,<\/span> true<\/span>);<\/span> <\/span><\/span>dbf.<\/span>setFeature<\/span>(<\/span>"http:\/\/xml.org\/sax\/features\/external-general-entities"<\/span>,<\/span> false<\/span>);<\/span> <\/span><\/span>dbf.<\/span>setFeature<\/span>(<\/span>"http:\/\/xml.org\/sax\/features\/external-parameter-entities"<\/span>,<\/span> false<\/span>);<\/span> <\/span><\/span><\/code><\/pre>过滤关键词：<\/strong><\/p> <!DOCTYPE<\/code><\/li> <!ENTITY SYSTEM<\/code><\/li> PUBLIC<\/code><\/li> <\/ul> 3. 实现示例<\/h2> 3.1 MyBatis预编译示例<\/h3> select<\/span> user_id,user_name from<\/span> t_user where<\/span> user_id =<\/span> #<\/span>{<\/span>user_id}<\/span> <\/span><\/span><\/code><\/pre>MyBatis会将其转换为：<\/p> select<\/span> id, user_name from<\/span> t_user where<\/span> id =<\/span> ?<\/span> <\/span><\/span><\/code><\/pre>并在执行时替换为实际值，自动添加单引号。<\/p> 3.2 XSS过滤示例<\/h3> <script<\/span> type<\/span>=<\/span>"text\/javascript"<\/span> src<\/span>=<\/span>"dist\/purify.min.js"<\/span>><\/script<\/span>> <\/span><\/span><script<\/span>> <\/span><\/span>const<\/span> clean<\/span> =<\/span> DOMPurify<\/span>.sanitize<\/span>(dirty<\/span>); <\/span><\/span><\/script<\/span>> <\/span><\/span><\/code><\/pre>3.3 命令执行示例(Java)<\/h3> \/\/ 不推荐使用 <\/span><\/span><\/span><\/span>ProcessBuilder builder =<\/span> new<\/span> ProcessBuilder(<\/span>cmdList);<\/span> <\/span><\/span>builder.<\/span>redirectErrorStream<\/span>(<\/span>true<\/span>);<\/span> <\/span><\/span>Process process =<\/span> builder.<\/span>start<\/span>();<\/span> <\/span><\/span> <\/span><\/span>\/\/ 或 <\/span><\/span><\/span><\/span>Runtime.<\/span>getRuntime<\/span>().<\/span>exec<\/span>(<\/span>cmdList);<\/span> <\/span><\/span><\/code><\/pre>4. 总结<\/h2> 防护注入攻击的关键在于：<\/p> 对所有用户输入进行严格验证和清理<\/li> 使用参数化查询而非字符串拼接<\/li> 禁用不必要的功能和协议<\/li> 实施最小权限原则<\/li> 使用安全框架和库处理潜在危险操作<\/li> <\/ol> 通过多层次防御策略，可有效降低各类注入攻击的风险。<\/p>

预防常见注入类问题的安全设计<\/h1>

1. 常见注入问题<\/h2>

1.1 SQL注入<\/h3> SQL注入是发生于应用程序与数据库层的安全漏洞，攻击者在输入字符串中注入SQL指令。当程序忽略字符检查时，这些恶意指令会被数据库服务器误认为是正常SQL指令而执行。<\/p>

1.2 NoSQL注入<\/h3> NoSQL注入是针对非关系数据库(如MongoDB、Cassandra DB等)的网络攻击。由于NoSQL数据库支持JavaScript等语言，攻击者可通过注入恶意代码获取或篡改数据。<\/p>

1.3 XSS(跨站脚本攻击)<\/h3> XSS攻击发生在web应用程序未能清理包含脚本代码(通常是JavaScript)的用户输入时。攻击者提供包含恶意代码的文本字符串，由受害者的浏览器执行而非作为常规参数处理。<\/p>

1.4 命令注入<\/h3> 当web应用程序需要在底层操作系统中执行系统命令时，如果存在漏洞，攻击者可在用户输入中提供自己的操作系统命令，可能导致系统完全被破坏。<\/p>