DynamoDB是否易受NoSQL/SQL注入攻击？是否需预处理用户输入？

一、注入风险情况 #

• 常规Key-Value操作（如boto3的get_item/query/scan）：这类操作采用参数化请求结构（例如通过ExpressionAttributeValues传递变量），用户输入会被当作纯数据处理，不会被解析为执行逻辑，不会出现你举例的MongoDB那种NoSQL注入。
• PartiQL查询：PartiQL是类SQL的查询语言，如果直接将用户输入拼接进查询语句（未使用参数绑定），则会存在SQL注入风险——攻击者可构造恶意语句绕过权限、窃取或篡改数据。
• 特殊场景风险：若手动拼接FilterExpression、UpdateExpression等表达式字符串，且直接嵌入用户输入（未使用占位符），可能被攻击者篡改查询逻辑，引发安全问题。

二、输入清理要求 #

• 使用SDK参数化接口时：比如在boto3中通过ExpressionAttributeValues传递用户输入，SDK会自动处理输入的隔离与转义，无需手动清理输入。
• 必须手动处理输入的场景：
  • 直接拼接用户输入到PartiQL语句（强烈建议改用参数绑定，而非依赖手动清理）；
  • 自行构造DynamoDB表达式字符串且未使用占位符；
  • 用户输入用于表名、索引名等资源标识（这类场景需做严格的白名单校验，而非简单清理）。

三、与MongoDB注入的差异 #

你提到的MongoDB注入是利用驱动允许执行自定义JavaScript函数的特性，示例代码如下：

function() { return obj.credits - obj.debits < 0;var date=new Date(); do{curDate = new Date();}while(curDate-date<10000); }

而DynamoDB的常规Key-Value API不支持执行自定义代码，因此不会出现这类注入。但PartiQL的注入风险与传统SQL注入类似。

内容的提问来源于stack exchange，提问作者Josh Vander Hook