在 Golang 中使用原始 SQL 和 ORM 防止 SQL 注入-Golang-PHP中文網

安全的 Golang 資料庫互動：防止 SQL 注入

在當今的開發環境中，安全編碼實踐至關重要。本文重點介紹如何保護 Golang 應用程式免受 SQL 注入漏洞的影響，這是與資料庫互動時的常見威脅。我們將探索使用原始 SQL 和物件關聯映射 (ORM) 框架的預防技術。

理解 SQL 注入

SQL 注入 (SQLi) 是一個嚴重的 Web 安全漏洞。攻擊者透過將惡意 SQL 程式碼注入資料庫查詢來利用它，可能會損害資料完整性和應用程式安全性。

一個易受攻擊的查詢範例：

<code class="language-go">query := "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'"
rows, err := db.Query(query)</code>

登入後複製

username 或 password 中的惡意輸入可以更改查詢的邏輯。

Preventing SQL Injection with Raw SQL and ORM in Golang

要更深入了解 SQL 注入，請參閱另一篇文章。

保護原始 SQL 查詢

直接使用 SQL 時，請優先使用以下安全措施：

1。準備好的語句： Go 的 database/sql 套件提供了準備好的語句，這是針對 SQLi 的關鍵防禦。

易受攻擊的範例：

<code class="language-go">query := "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'"
rows, err := db.Query(query) // Vulnerable to SQL injection</code>

登入後複製

安全版本（準備好的聲明）：

<code class="language-go">query := "SELECT * FROM users WHERE username = ? AND password = ?"
rows, err := db.Query(query, username, password)
if err != nil {
    log.Fatal(err)
}</code>

登入後複製

準備好的語句會自動轉義使用者輸入，防止注入。

2。參數化查詢： 使用 db.Query 或 db.Exec 以及佔位符進行參數化查詢：

<code class="language-go">query := "INSERT INTO products (name, price) VALUES (?, ?)"
_, err := db.Exec(query, productName, productPrice)
if err != nil {
    log.Fatal(err)
}</code>

登入後複製

避免字串連線或 fmt.Sprintf 進行動態查詢。

3。 QueryRow 對於單一記錄： 對於單行檢索，QueryRow 最大限度地降低風險：

<code class="language-go">query := "SELECT id, name FROM users WHERE email = ?"
var id int
var name string
err := db.QueryRow(query, email).Scan(&id, &name)
if err != nil {
    log.Fatal(err)
}</code>

登入後複製

4。輸入驗證與清理： 即使使用準備好的語句，也要驗證和清理輸入：

清理：刪除不需要的字元。
驗證：檢查輸入格式、類型和長度。

Go 輸入驗證範例：

<code class="language-go">func isValidUsername(username string) bool {
    re := regexp.MustCompile(`^[a-zA-Z0-9_]+$`)
    return re.MatchString(username)
}

if len(username) > 50 || !isValidUsername(username) {
    log.Fatal("Invalid input")
}</code>

登入後複製

5。預存程序： 將查詢邏輯封裝在資料庫預存程序中：

<code class="language-sql">CREATE PROCEDURE AuthenticateUser(IN username VARCHAR(50), IN password VARCHAR(50))
BEGIN
    SELECT * FROM users WHERE username = username AND password = password;
END;</code>

登入後複製

來自 Go 的通話：

<code class="language-go">_, err := db.Exec("CALL AuthenticateUser(?, ?)", username, password)
if err != nil {
    log.Fatal(err)
}</code>

登入後複製

使用 ORM 防止 SQL 注入

像 GORM 和 XORM 這樣的 ORM 簡化了資料庫交互，但安全實踐仍然至關重要。

1。戈姆：

易受攻擊的範例（動態查詢）：

<code class="language-go">db.Raw("SELECT * FROM users WHERE name = '" + userName + "'").Scan(&user)</code>

登入後複製

安全範例（參數化查詢）：

<code class="language-go">db.Raw("SELECT * FROM users WHERE name = ? AND email = ?", userName, email).Scan(&user)</code>

登入後複製

GORM 的 Raw 方法支援佔位符。偏好 GORM 的內建方法，例如 Where:

<code class="language-go">query := "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'"
rows, err := db.Query(query)</code>

登入後複製

2。避免使用原始 SQL 進行複雜查詢： 即使對於複雜的原始查詢也使用佔位符。

3。用於安全性映射的結構標籤： 使用結構標籤進行安全 ORM 映射：

<code class="language-go">query := "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'"
rows, err := db.Query(query) // Vulnerable to SQL injection</code>

登入後複製

要避免的常見錯誤：