SQL 注入完整攻防实战｜RAG/Text-to-SQL 大模型系统安全加固指南

步步糕升

导语

     SQL 注入常年稳居 OWASP Top10 高危漏洞榜首，企业知识库、Text-to-SQL 智能问答、后台管理系统一旦存在该漏洞，攻击者仅通过登录框、搜索框简单特殊字符，就能批量窃取用户隐私、篡改订单数据、清空整库，甚至接管服务器。很多 AI 开发者搭建 RAG、自然语言查数平台时，忽略 LLM 生成 SQL 带来新型注入风险，仅做简单关键词过滤，极易被各类变形注入绕过。本期拆解 SQL 注入底层原理、四大主流攻击方式，区分普通 Web 与 AI Text-to-SQL 专属风险，提供 Python/FastAPI 生产级安全代码，搭建多层防御体系，彻底杜绝注入漏洞。

一、SQL 注入核心定义与底层成因

通俗类比

SQL 注入 = 伪造快递单据篡改查询指令；正常单据（用户输入）仅作为查询条件，漏洞系统直接把单据文字拼进查询命令，黑客填入特殊符号改写整段 SQL 逻辑，数据库执行恶意操作。 漏洞三大必要条件（缺一不可）

1. 存在外部可控输入：登录框、搜索接口、URL 参数、用户自然语言提问（Text-to-SQL）；
2. 代码直接字符串拼接 SQL 语句，未分离指令与数据；
3. 无输入校验、特殊字符转义、参数化防护。

底层本质：应用未区分SQL 执行指令和用户输入数据，数据库引擎将恶意输入解析为可执行 SQL 语法，改变原有查询逻辑。

经典登录绕过攻击演示

危险拼接写法（漏洞代码）

# 高危：直接拼接用户输入，存在注入
username = request.args.get("username")
password = request.args.get("")
sql = f"SELECT * FROM admin WHERE username = '{username}' AND password = '{password}'"
cursor.execute(sql)
攻击者用户名输入：admin' -- 
拼接后完整 SQL：
SELECT * FROM admin WHERE username = 'admin' -- ' AND password = ''

--是 SQL 注释符，后续密码校验逻辑直接失效，无需密码即可登录管理员后台，这是全球最普遍的注入入侵方式。

二、四大主流 SQL 注入攻击类型

1 显错联合注入（UNION 注入）

页面会返回数据库报错、查询结果，攻击者用UNION SELECT拼接多表数据，一次性导出用户、订单、密钥全库信息，多见于后台搜索页面。 攻击 Payload 示例：' UNION SELECT username,password FROM users --

2 布尔盲注（无返回页面）

页面不展示数据，但存在 “存在 / 不存在” 两种页面差异，攻击者逐字符猜解库名、表、字段，适合纯接口 AI 知识库系统。

3 时间延时盲注

页面无任何返回差异，通过sleep(5)延时判断数据是否存在，隐蔽性极强，WAF 规则极易遗漏。

4 堆叠注入（破坏性最高）

利用分号;执行多条 SQL，查询后追加删库、改权限命令，Payload：'; DROP TABLE orders; --，直接清空业务订单表。

三、SQL 注入带来五级灾难性业务危害

1. 数据泄露：用户手机号、身份证、支付凭证、企业合同批量外泄，触犯数据安全法规；
2. 身份越权：绕过登录验证，获取管理员后台全部操作权限；
3. 数据篡改：修改订单金额、用户会员等级，造成直接经济损失；
4. 业务瘫痪：执行 DROP/TRUNCATE 删除核心业务表，服务全面中断；
5. 服务器接管：数据库高权限账号可执行系统命令，横向渗透内网 GPU 推理服务器。

真实商业案例：国外支付企业因登录框注入漏洞，1.3 亿银行卡信息泄露，直接破产清算。

四、普通 Web 项目标准三层防御体系（从根源杜绝）

第一层：代码层（黄金标准：参数化预编译查询）

唯一根治手段，从底层隔离 SQL 指令与用户输入，数据库预先编译 SQL 模板，占位符仅接收纯数据，特殊符号不会被解析为语法。

Python FastAPI 安全示例（MySQL/SQLite）

import sqlite3
# 安全参数化写法，杜绝拼接
def get_user(username_input):
    conn = sqlite.connect("business.db")
    cur = conn.cursor()
    # ?为占位符，输入单独传参，禁止f-string拼接
    safe_sql = "SELECT * FROM users WHERE username = ?"
    cur.execute(safe_sql, (username_input,))
    return cur.fetchone()

禁止高危写法（线上绝对不能出现）

# 高危漏洞代码
sql = f"SELECT * FROM user WHERE name = '{user_input}'"

ORM 框架最优方案（SQLAlchemy）

ORM 底层自动实现参数化，完全避免手写拼接：

from sqlalchemy.orm import Session
def query_user(db: Session, uname):
    # 自动参数化，无注入风险
    user = db.query(User).filter(User.username == uname).first()
    return user

第二层：数据库最小权限原则

业务连接账号禁止使用 root、sa 超级账号：

1. 仅授予业务必需 SELECT/INSERT，删除 DROP/ALTER/EXEC 等高危操作权限；
2. 限制数据库远程访问 IP，仅允许内网推理服务器连接；
3. 分库分账号，知识库、订单库使用独立账号隔离风险。

第三层 网关 & 输入辅助防护

1. WAF 防火墙：拦截 UNION、SLEEP、DROP 等注入特征 Payload；
2. 输入白名单校验：数字 ID 强制转 int，用户名仅允许字母数字下划线；
3. 禁用数据库详细报错页面，避免泄露表名、字段结构；
4. 日志实时监控异常 SQL（包含--、union语句即时告警）。

五、AI 专属风险：Text-to-SQL 大模型注入防护

RAG、自然语言查数平台存在新型注入漏洞：用户提问携带 SQL 攻击字符，LLM 自动生成恶意查询语句，绕过普通前端校验，危害比传统注入更大，配套四层专属加固方案：

1 Prompt 强约束，限制危险语法

系统提示词强制规则：

生成 SQL 仅允许 SELECT 查询，禁止 DELETE/DROP/ALTER/ 分号多语句；仅可查询白名单数据表，不允许跨库操作。

2 SQL 语法解析校验（核心拦截）

使用 sqlgl 等工具解析 LLM 输出 SQL，过滤高危关键字、多语句分号：

import sqlglot
DISALLOW = {"drop", "delete", "alter", "truncate", ";"}
def safe_check(sql_text):
    lower_sql = sql_text.lower()
    if any(word in lower_sql for word in DISALLOW):
        return False, "包含危险操作，禁止执行"
    if ";" in sql_text:
        return False, "不允许多条堆叠SQL"
    parsed = sqlglot.parse_one(sql_text)
    # 校验查询表是否在业务白名单内
    return True, sql_text

3 数据库只读账号

Text-to-SQL 专用账号仅授予 SELECT 读取权限，彻底杜绝删库、篡改风险。

4 检索结果二次过滤

查询返回敏感手机号、合同金额时，前端脱敏展示，防止数据批量导出泄露。

六、新手高频认知误区澄清

误区 1 输入过滤特殊符号就能防注入

纠正各类变形绕过（大小写 UnIoN、注释拆分、URL 双重编码）可轻易突破黑名单，仅参数化查询能根治阿里云开发...。

误区 2 ORM 框架完全安全，raw 原生 SQL 无所谓

纠正 ORM 的raw()、text()手写拼接语句同样存在注入漏洞，必须使用占位符传参。

误区 3 后端做了校验，前端不用防护

纠正攻击者可抓包篡改接口参数，前端校验仅做体验优化，无安全防护能力。

误区 4 Text-to-SQL 只要提示词限制就安全

纠正大模型可能受用户诱导生成恶意 SQL，必须配套语法解析 + 只读账号双重兜底。

误区 5 WAF 防火墙可以替代代码规范

纠正变形注入、新型 Payload 可绕过特征匹配，代码层参数化是第一道核心防线。

七、线上注入漏洞快速排查清单

1. 全局检索项目f-string、+字符串拼接 SQL 语句；
2. 检查所有用户可控入参：URL、表单、对话提问、Header 参数；
3. Text-to-SQL 系统核对是否做 SQL 语法危险词校验；
4. 确认数据库业务账号无 DROP/ALTER 权限；
5. 关闭生产环境 SQL 详细报错输出，统一模糊提示；
6. 上线前使用安全扫描工具自动检测注入漏洞。

八、本期全文总结

1 SQL 注入根源是 SQL 指令与用户输入未隔离，字符串拼接是漏洞唯一源头； 2 根治核心方案：全程参数化预编译查询、优先使用 ORM 框架； 3 三层防御：代码层根治、数据库最小权限、WAF / 输入校验辅助兜底； 4 AI Text-to-SQL 存在新型注入风险，需提示词约束 + 语法校验 + 只读账号三重加固； 5 黑名单过滤无法抵御变形攻击，不能作为核心防护手段； 6 上线前全面排查所有外部输入拼接 SQL 代码，避免企业数据泄露、业务瘫痪。