Golang安全防护手写SQL注入的插件库Hotcoal的使用

保护手写SQL免受注入攻击

许多Golang应用不使用ORM，而是更喜欢使用原始SQL进行数据库操作。虽然编写原始SQL有时比使用ORM更灵活、高效和简洁，但它可能使您容易受到SQL注入攻击。

虽然大多数数据库技术(PostgreSQL、MySQL、Sqlite等)和Golang SQL库(database/sql、sqlx等)允许您使用预编译语句来接收参数并对其进行清理，但存在一些限制：

• 您可以使用参数作为值，但不能用于列名或表名
• 对于更复杂的操作，一个好的ORM可以动态生成SQL并安全地执行；但您没有使用ORM，所以开始手工编写SQL…

这就是Hotcoal的用武之地。

Hotcoal工作原理

Hotcoal提供了一个最小化的API，帮助您保护手工编写的SQL免受SQL注入攻击。

1. 使用Hotcoal而不是纯字符串手工编写SQL。这样所有参数都会根据您提供的允许列表进行验证。
2. 将结果转换为纯字符串并与您的SQL库一起使用。

您可以将Hotcoal与任何您喜欢的SQL库一起使用。Hotcoal不替代带有参数的预编译查询，而是对其进行补充。

示例

我们使用以下示例表：

CREATE TABLE "users" (
	"id"	INTEGER NOT NULL PRIMARY KEY AUTOINCREMENT UNIQUE,
	"first_name"	TEXT NOT NULL,
	"middle_name"	TEXT NOT NULL,
	"last_name"	TEXT NOT NULL,
	"nickname"	TEXT,
	"email"	TEXT NOT NULL
);

验证列名

我们使用Hotcoal验证列名并创建SQL查询字符串。字符串常量可以直接使用Wrap转换为hotcoalString，无需验证。

但是字符串变量不能直接转换为hotcoalString。这有助于防止SQL注入。相反，您必须使用Allowlist和Validate对字符串变量进行验证。如果尝试使用Wrap将字符串变量转换为hotcoalString而不进行验证，它将无法编译。

import (
  "database/sql"
  "github.com/motrboat/hotcoal"  
)

func queryCount(db *sql.DB, columnName string, value string) *sql.Row {

  // 验证columnName变量是否在允许列表中
  // 返回一个hotcoalString
  validatedColumnName, err := hotcoal.
    Allowlist("first_name", "middle_name", "last_name").
    Validate(columnName)

  if err != nil {
    return nil, err
  }  

  // 使用hotcoalStrings手工编写SQL
  query := hotcoal.Wrap("SELECT COUNT(*) FROM users WHERE ") +
    validatedColumnName +
    hotcoal.Wrap(" = ?;")

  // 如果尝试使用未经验证的常规字符串变量，
  // 它容易受到SQL注入攻击，因此无法编译：
  //       query := hotcoal.Wrap("SELECT COUNT(*) FROM users WHERE ") +
  //         columnName +
  //         hotcoal.Wrap(" = ?;")

  // 仅在传递给数据库库时将hotcoalString转换回常规字符串
  // 使用带有参数的预编译查询来清理值
  row := db.QueryRow(query.String(), value)

  return row
}

验证手工编写的SQL

要手工编写更复杂的SQL，您还可以使用strings函数的hotcoal等效函数Join、Replace和ReplaceAll。这些可以使用hotcoalStrings或字符串常量调用。但不能使用字符串变量-必须先验证这些变量。

import (
  "database/sql"
  "github.com/motrboat/hotcoal"  
)

type Filter struct {
  ColumnName string
  Value string
}

func queryCount(db *sql.DB, tableName string, filters []Filter) (*sql.Row, error) {
  validatedTableName, err := hotcoal.
    Allowlist("users", "customers").
    Validate(tableName)
  if err != nil {
    return nil, err
  }

  allowlist := hotcoal.Allowlist("first_name", "middle_name", "last_name", "nickname")

  sqlArr := hotcoal.Slice{}
  values := []string{}

  for _, filter := range filters {
    validatedColumnName, err := allowlist.Validate(filter.ColumnName)
    if err != nil {
      return nil, err
    }

    sqlArr = append(sqlArr, validatedColumnName + hotcoal.Wrap(" = ?"))
    values = append(values, filter.Value)
  }

  query := hotcoal.Wrap("SELECT COUNT(*) FROM {{TABLE}} WHERE {{FILTERS}};").
    ReplaceAll(
      "{{TABLE}}",
      validatedTableName,
    ).
    ReplaceAll(
      "{{FILTERS}}",
      hotcoal.Join(sqlArr, " OR "),
    )

  row := db.QueryRow(query.String(), values...)

  return row
}

字符串构建器

Hotcoal还提供了使用hotcoalStrings的strings.Builder版本。它最小化了内存复制，效率更高。

import (
  "database/sql"
  "github.com/motrboat/hotcoal"  
)

type Filter struct {
  ColumnName string
  Value string
}

func queryCount(db *sql.DB, filters []Filter) *sql.Row {
  allowlist := hotcoal.Allowlist("first_name", "middle_name", "last_name", "nickname")

  builder := hotcoal.Builder{}
  values := []string{}

  builder.Write("SELECT COUNT(*) FROM users WHERE ")

  for i, filter := range filters {
    if i != 0 {
      builder.Write(" OR ")
    }

    validatedColumnName, err := allowlist.Validate(filter.ColumnName)
    if err != nil {
      return nil, err
    }

    builder.Write(validatedColumnName + hotcoal.Wrap(" = ?"))
    values = append(values, filter.Value)
  }

  builder.Write(";")

  row := db.QueryRow(builder.String(), values...)

  return row
}

免责声明

Hotcoal不提供任何保证。