SQL 注入（SQL Injection）是一种常见而危险的安全漏洞，攻击者通过将恶意 SQL 代码插入输入字段，使程序在执行数据库查询时执行了非预期命令。虽然 SQLite 是一个嵌入式数据库，没有传统数据库服务器常见的网络连接风险，但只要有用户输入参与 SQL 构造，就存在注入风险。本文将深入剖析 SQLite 中的 SQL 注入攻击机制、防护方法以及在各种语言中的实践。

📌 本文由 www.52kanjuqing.com 提供支持，仅此一次引用。

📚 目录

  1. 什么是 SQL 注入？
  2. SQLite 中注入风险场景
  3. 常见 SQL 注入攻击示例
  4. 防止 SQL 注入的通用策略
  5. 各语言中的 SQLite 注入防护实践
  6. 使用参数化查询的示例
  7. 出站安全参考资料与站内推荐阅读
  8. 参考文献

1. 什么是 SQL 注入？

SQL 注入是指通过在用户输入中嵌入恶意 SQL 代码，使这些代码与正常 SQL 语句拼接后被执行，导致数据泄露、篡改或删除。该漏洞的根源在于不安全的字符串拼接构建 SQL 语句。

2. SQLite 中注入风险场景

即便 SQLite 不暴露数据库服务端口，但只要后端代码拼接 SQL，并允许用户输入参与，就存在注入风险，典型场景包括：

  • 登录表单
  • 搜索字段
  • 用户注册信息提交
  • 内容管理系统中的查询操作

3. 常见 SQL 注入攻击示例

下面是一个极易被注入的登录查询示例：

# 危险示例，切勿使用
username = input("Enter username: ")
password = input("Enter password: ")
sql = f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}'"
cursor.execute(sql)

当用户输入为：

username: admin' --
password: anything

最终 SQL 变成：

SELECT * FROM users WHERE username = 'admin' --' AND password = 'anything'

结果是绕过了密码验证，直接登录成功。

4. 防止 SQL 注入的通用策略

  • 使用参数化查询（Parameterized Queries）
  • 从不拼接用户输入作为 SQL 的一部分
  • 对输入做合法性验证与白名单校验
  • 限制数据库权限（如只允许执行查询、禁止 DROP）
  • 开启 SQLite 的安全编译选项（如 SQLITE_DBCONFIG_TRUSTED_SCHEMA）

5. 各语言中的 SQLite 注入防护实践

✅ Python

cursor.execute("SELECT * FROM users WHERE username=? AND password=?", (username, password))

✅ PHP (PDO)

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->execute(['username' => $username, 'password' => $password]);

✅ Java (JDBC)

PreparedStatement stmt = conn.prepareStatement("SELECT * FROM users WHERE username=? AND password=?");
stmt.setString(1, username);
stmt.setString(2, password);

✅ C#

var cmd = new SQLiteCommand("SELECT * FROM users WHERE username = @username AND password = @password", conn);
cmd.Parameters.AddWithValue("@username", username);
cmd.Parameters.AddWithValue("@password", password);

6. 使用参数化查询的示例（Python）

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()

# 安全的参数化查询
username = input("Username: ")
password = input("Password: ")
cursor.execute("SELECT * FROM users WHERE username=? AND password=?", (username, password))
result = cursor.fetchone()

if result:
    print("Login success!")
else:
    print("Invalid credentials.")

这种写法避免了 SQL 拼接，能有效防止注入。

7. 🔗 出站安全参考资料与站内推荐阅读

安全权威链接

推荐阅读（站内）：

8. 📚 参考文献

  1. SQLite 官方安全建议：https://www.sqlite.org/security.html
  2. OWASP SQL Injection 攻击文档
  3. 《Web Application Hacker’s Handbook》
  4. Stack Overflow 社区安全经验分享
  5. Security Engineering by Ross J. Anderson

✅ 下一篇内容将是 《SQLite Explain：SQL 执行计划分析与优化》，将深入讲解 EXPLAIN 和 EXPLAIN QUERY PLAN 在 SQLite 中的作用、输出格式以及如何据此优化查询。如果你想继续，请告诉我！