Golang Go语言中fmt.Sprintf方法的%q是否可以防止mysql注入？

发布于 1周前 作者 sinazl 来自 Go语言

sql 防止注入最安全的方法，就我知道的是参数化查询
让 mysql 将 sql 解析跟数据传递分开，不过这种一般会多一次与 mysql 的交互。
我知道 go mysql driver 有参数可在 driver 层做相关过滤，但似乎对部分编码不是很友好？
%s 进行 sql 拼接很容易被注入没什么疑问。
%q 会将字符串 进行一定的安全处理，之前有看到用%q 开拼接 sql 的，是否安全？个人感觉有风险，但想不出什么情况下会被注入。
有哪位研究过的么？之前很少看到用%q 的
Golang Go语言中fmt.Sprintf方法的%q是否可以防止mysql注入？


更多关于Golang Go语言中fmt.Sprintf方法的%q是否可以防止mysql注入？的实战系列教程也可以访问 https://www.itying.com/category-94-b0.html

Harmonyos Next教程
12 回复

一样存在 sql 注入的问题

更多关于Golang Go语言中fmt.Sprintf方法的%q是否可以防止mysql注入？的实战系列教程也可以访问 https://www.itying.com/category-94-b0.html


现在基本没有使用 sql 拼接的了再差 也是传参数
基本上 都在用 orm 了

统一 utf8 编码
尽量避免字符串直接拼接
百分之九十九的 语句都可以用 orm go 有 gorm
需要手动写的 就 使用 传参 语句 和 值分离

我能接受最差的写法
<br> where := []string{}<br> args := []string{}<br> if url.query.uid != "" {<br> args = append(args, url.query.uid)<br> where = append(where, "uid = ?")<br> }<br><br> query := "SELECT * FROM users"<br> if len(where) != 0 {<br> query += " WHERE " + strings.Join(where, " AND ")<br> }<br> db.Query(query, args...)<br><br>



感谢回复，我自己写肯定不会拼接。
重点是标题，%q 下 mysql 注入案例？

测试了一下，这个转义看起来还是很安全的，不知道是不是有些案例没测试到

https://go.dev/play/p/jzbyJlMpFmg


可行？

输出被成对的双引号包裹了，对 mysql sql ，双引号内单个单引号是否会截断字符串？单纯这样感觉 sql 报错，但还不至于注入？用来 dos 倒是有点用的感觉

双引号可以包含单引号，不会被截断，只会被当成单引号字符串，也不会报错，这种看起来不会造成注入

#5
怎么通过外部输入造出这种数据呢？比如 通过 http\rpc 传进来的参数

%q 是给字符串加 双 引号，也就 Mysql 你能这样用了，Oracle 下面 SQL 报错（ SQL 规范上是要求单引号定义字符串）。这只是误打误撞防止了 sql 注入，但本质上是瞎几把拼 SQL 。

注入应该不会，但是你的字符串可能会变成错的。
比如 fmt.Printf("%q", “\x0b\x1b”) -> “\v\x1b”
"\v\x1b" 在 MySQL 里面会变成 “vx1b"

标准库应该是默认对 query string 做了 Prepare 的，所以预期 Sprintf 拼接，还是不如都使用 place holder 来避免比较好。
我新搞的 sqlw 就没像 sqlx 那样去支持一些 query 配合 Named() 的解析，保持最简单、最实用的东西，其他那些华而不实的花哨，能少整就少整

在Golang中，fmt.Sprintf方法的%q格式化选项主要用于将值转换为带引号的、可打印的Go语法表示形式，通常用于调试或生成Go代码片段。然而，%q并不能防止MySQL注入攻击。

MySQL注入攻击通常发生在SQL查询字符串被用户输入的数据直接或不当修改时。为了防止这种攻击，应使用参数化查询（也称为预处理语句）来确保用户输入被安全地处理，并且不会改变查询的逻辑结构。

在Go中，可以使用数据库驱动（如database/sql包和MySQL驱动如github.com/go-sql-driver/mysql）提供的预处理语句功能来防止SQL注入。例如：

query := "INSERT INTO users (name, email) VALUES (?, ?)"
stmt, err := db.Prepare(query)
if err != nil {
    // 处理错误
}
_, err = stmt.Exec("John Doe", "john.doe@example.com")
if err != nil {
    // 处理错误
}

在这个例子中，?是占位符，用于在执行时由提供的参数替换，从而避免了直接拼接用户输入到SQL查询字符串中，从而有效防止了SQL注入。

总之，fmt.Sprintf的%q格式化选项不能用于防止MySQL注入。为了防止SQL注入，应使用参数化查询或预处理语句。

回到顶部