4. SQL注入防护：参数化查询、ORM安全使用、Go中database/sql安全实践

SQL注入是Web应用最古老、危害最大的安全漏洞之一。在Go语言中，虽然标准库database/sql提供了良好的基础防护能力，但开发者若使用不当（如字符串拼接SQL、误用ORM方法），依然会引入注入风险。本章从参数化查询、ORM安全使用、底层安全实践三个维度，建立Go业务模块的SQL注入审计基线。

4.1 核心防线：参数化查询（Prepared Statements）

参数化查询是防御SQL注入的第一道且最有效的防线。其原理是将SQL语句结构与用户输入数据分离，数据库引擎在编译阶段将参数视为纯数据，而非可执行代码。

4.1.1 安全 vs 不安全代码对比

query := fmt.Sprintf("SELECT * FROM users WHERE name='%s'", userInput)
rows, err := db.Query(query)

query := "SELECT * FROM users WHERE name = ?"
rows, err := db.Query(query, userInput)

stmt, _ := db.Prepare("SELECT * FROM users WHERE name = ?")
rows, err := stmt.Query(userInput)

4.1.2 参数化查询执行流程（SVG）

下图展示了Go中参数化查询的完整数据流，说明用户输入如何被安全地作为数据处理，而非SQL代码执行。

4.2 ORM安全使用：以GORM为例

ORM框架（如GORM、XORM、Ent）虽然封装了底层SQL，但若使用不当，同样会引入注入风险。审计时需重点关注原生SQL方法和动态查询构建。

4.2.1 GORM安全与风险操作对照

db.Where("name = ?", input).Find(&users)

db.Where(fmt.Sprintf("name = '%s'", input)).Find(&users)

db.Raw("SELECT * FROM users WHERE id = ?", id).Scan(&result)

db.Raw("SELECT * FROM users WHERE id = " + id).Scan(&result)

db.Where("id IN ?", []int{1,2,3}).Find(&users)

db.Where("id IN (" + ids + ")").Find(&users)

// 白名单验证
allowed := map[string]bool{"asc":true,"desc":true}
if !allowed[order] { order = "asc" }
db.Order("created_at " + order)

db.Order("created_at " + userOrder)

4.2.2 ORM安全调用与原生SQL调用对比（SVG）

下图对比了ORM安全调用链与存在注入风险的调用链，帮助审计人员快速识别问题代码路径。

4.3 database/sql底层安全实践

Go标准库database/sql提供了底层数据库操作接口，审计时需关注以下关键安全实践。

4.3.1 安全实践清单

• 始终使用db.Query、db.Exec、db.Prepare的参数化版本，避免使用db.QueryContext时拼接SQL。
• 使用sql.Named进行命名参数绑定，提高可读性和安全性。
• 避免使用db.QueryRow拼接SQL，同样必须使用占位符。
• 事务中同样使用参数化查询，tx.Exec和tx.Query也支持占位符。
• 对Rows结果集使用defer rows.Close()，防止连接泄漏。

4.3.2 安全代码模板

// 安全：参数化查询
func GetUserByID(db *sql.DB, userID int) (*User, error) {
    query := "SELECT id, name, email FROM users WHERE id = ?"
    row := db.QueryRow(query, userID)
    
    var u User
    if err := row.Scan(&u.ID, &u.Name, &u.Email); err != nil {
        return nil, err
    }
    return &u, nil
}

// 安全：预编译语句复用
func BatchInsertUsers(db *sql.DB, users []User) error {
    stmt, err := db.Prepare("INSERT INTO users(name, email) VALUES(?, ?)")
    if err != nil {
        return err
    }
    defer stmt.Close()
    
    for _, u := range users {
        if _, err := stmt.Exec(u.Name, u.Email); err != nil {
            return err
        }
    }
    return nil
}

// 安全：命名参数
func GetUserByEmail(db *sql.DB, email string) (*User, error) {
    query := "SELECT id, name, email FROM users WHERE email = @email"
    row := db.QueryRow(query, sql.Named("email", email))
    
    var u User
    if err := row.Scan(&u.ID, &u.Name, &u.Email); err != nil {
        return nil, err
    }
    return &u, nil
}

4.3.3 常见审计发现与修复

4.4 审计基线总结

SQL注入防护的审计基线可归纳为以下三条核心规则：

1. 零拼接原则： 任何用户输入不得直接拼接到SQL语句中，必须通过?、$N或命名参数传递。
2. ORM安全调用： 使用ORM框架时，Where、Raw、Exec方法必须使用占位符；动态排序、表名、字段名必须使用白名单验证。
3. 预编译优先： 对于高频执行的SQL，优先使用db.Prepare创建预编译语句，既提升性能又固化SQL结构。