Flutter中使用sql_conn时如何安全处理用户输入防范SQL注入？

你的当前代码直接将用户输入（username、ipAddress、dbName）拼接进SQL字符串，这是SQL注入的高危操作，以下是具体的安全处理方案：

1. 使用参数化查询（最优方案） #

调用存储过程时，通过SQL参数传递用户输入，而非直接拼接字符串。这是防范SQL注入最可靠的方式，同时也符合SQL Server的最佳实践。

假设sql_conn支持参数传递，修改后的代码示例如下：

// 定义带参数占位符的SQL语句
var sqlQuery = """
declare @Allowed bit;
declare @Status nvarchar(4000);
exec spHandheldConnectionAllowed 
    @username = ?, 
    @ipAddress = ?, 
    @dbName = ?, 
    @Allowed output, 
    @Status output;
""";

// 按占位符顺序传递参数列表
var connectionAllowedResult = await SqlConn.readData(
  sqlQuery,
  params: [username, ipAddress, dbName]
);

如果sql_conn当前版本不支持直接传递参数，可改用SQL Server的命名参数语法避免字符串拼接：

var sqlQuery = """
declare @Allowed bit;
declare @Status nvarchar(4000);
declare @InputUsername nvarchar(255) = @pUsername;
declare @InputIP nvarchar(50) = @pIP;
declare @InputDB nvarchar(100) = @pDB;
exec spHandheldConnectionAllowed 
    @InputUsername, 
    @InputIP, 
    @InputDB, 
    @Allowed output, 
    @Status output;
""";

// 绑定命名参数（需确认sql_conn支持该特性）
var connectionAllowedResult = await SqlConn.readData(
  sqlQuery,
  namedParams: {
    "@pUsername": username,
    "@pIP": ipAddress,
    "@pDB": dbName
  }
);

2. 临时替代方案：严格输入验证与转义 #

若暂时无法实现参数化，可通过以下方式降低风险：

• 输入验证：对用户输入做严格规则校验：
  • username：限制长度（如2-50字符），仅允许字母、数字、下划线等合法字符
  • ipAddress：验证是否符合IPv4/IPv6格式
  • dbName：使用白名单机制，仅允许预定义的数据库名称
• 字符转义：对用户输入中的SQL特殊字符进行转义，比如将SQL Server中的单引号'替换为两个单引号''：

// 简单转义函数
String escapeSql(String input) {
  return input.replaceAll("'", "''");
}

// 使用转义后的变量拼接SQL
var escapedUsername = escapeSql(username);
var escapedIP = escapeSql(ipAddress);
var escapedDB = escapeSql(dbName);

var connectionAllowedResult = await SqlConn.readData("""
declare @Allowed bit declare @Status nvarchar(4000) 
exec spHandheldConnectionAllowed '$escapedUsername', '$escapedIP', '$escapedDB', @Allowed output, @Status output
""");

注意：转义仅为临时方案，无法完全覆盖所有注入场景，参数化仍是首选。

3. 强化存储过程自身安全性 #

确保后端存储过程spHandheldConnectionAllowed内部未使用动态SQL拼接逻辑；若必须使用动态SQL，需在存储过程内部也采用参数化方式处理输入。

内容的提问来源于stack exchange，提问作者TheMortiestMorty