CodeQL检测Gin/MongoDB API存在用户可控源构建数据库查询错误求助

先指出你代码里的明显笔误：ctx.BindJSON(&data) 应该是 ctx.BindJSON(&request)，这个绑定错误可能是CodeQL误判的诱因之一，先修正。

针对CodeQL的警报，即便你用了$eq和字符清理仍触发的核心原因，通常是CodeQL无法识别动态构建的bson.M为安全查询结构。以下是几个有效解决方法：

1. 使用类型安全的查询构建器 #

MongoDB Go驱动提供了类型安全的过滤构造方式，替代bson.M后，CodeQL能明确识别这种写法的安全性：

import "go.mongodb.org/mongo-driver/bson"

// 用bson.D替代bson.M，结构更明确
filter := bson.D{
    {Key: "config.fqdn", Value: bson.D{{Key: "$eq", Value: request.FQDN}}},
}

// 或者用更直观的官方构建器
import "go.mongodb.org/mongo-driver/mongo"
filter := mongo.NewFilterBuilder().Eq("config.fqdn", request.FQDN).Build()

2. 强化输入验证规则 #

除清理特殊字符，添加严格的格式校验（比如FQDN的正则校验），让CodeQL确认输入经过了安全过滤：

import "regexp"
import "strings"

// 预定义FQDN合法格式正则
var fqdnRegex = regexp.MustCompile(`^([a-zA-Z0-9-]+\.)+[a-zA-Z]{2,}$`)

func (l LogHandler) GetLogByFQDN(ctx *gin.Context) {
    var request dtos.GetLogRequest
    if err := ctx.BindJSON(&request); err != nil {
        ctx.AbortWithStatusJSON(http.StatusBadRequest, validator.DecryptErrors(err))
        return
    }

    // 先验证格式合法性
    if !fqdnRegex.MatchString(request.FQDN) {
        ctx.AbortWithStatusJSON(http.StatusBadRequest, gin.H{"error": "invalid FQDN format"})
        return
    }

    // 清理风险字符
    cleanedFQDN := strings.ReplaceAll(strings.ReplaceAll(request.FQDN, "$", ""), "{", "")
    cleanedFQDN = strings.ReplaceAll(cleanedFQDN, "}", "")

    col := getCollection("logs")
    // 直接传值，MongoDB默认执行$eq匹配，写法更简洁且易被CodeQL识别
    filter := bson.M{"config.fqdn": cleanedFQDN}

    var data Log
    err := col.FindOne(context.TODO(), filter).Decode(&data)

    // ... 后续错误处理与响应逻辑
}

3. 约束输入字段类型 #

确保dtos.GetLogRequest中的FQDN字段是明确的string类型，并添加绑定校验：

package dtos

type GetLogRequest struct {
    FQDN string `json:"fqdn" binding:"required,max=255"`
}

通过binding标签强制输入为必填、长度合法的字符串，避免类型混淆带来的注入风险。

4. 抑制CodeQL误判（最后手段） #

若以上优化仍无法消除警报，且你确认查询逻辑绝对安全，可添加CodeQL抑制注释：

// codeql[suppress[uncontrolled-user-input]]
filter := bson.M{"config.fqdn": bson.M{"$eq": request.FQDN}}

注意：此方法仅作为兜底，优先通过代码优化让CodeQL认可你的实现。

内容的提问来源于stack exchange，提问作者Kyle Barnes