Python操作DynamoDB：如何安全写入/更新以规避类SQL注入风险？

DynamoDB不存在传统SQL注入风险（因其不基于SQL语法），但处理无限制用户输入时仍需防范数据逻辑破坏、资源滥用等问题，以下是核心安全实践：

• 依赖官方SDK的参数化机制传递输入
  切勿手动拼接表达式字符串，恶意输入可能破坏语法逻辑。始终用SDK提供的占位符机制传递用户数据，比如boto3中的ExpressionAttributeValues：

  import boto3
  
  dynamodb = boto3.resource('dynamodb')
  table = dynamodb.Table('YourTargetTable')
  
  # 直接传入用户输入，SDK自动处理特殊字符
  user_input = "包含特殊字符的用户输入: ' \" ; 测试"
  table.put_item(
      Item={
          'item_id': 'unique_identifier',
          'user_content': user_input
      }
  )
  
  # 更新操作同样用占位符
  table.update_item(
      Key={'item_id': 'unique_identifier'},
      UpdateExpression="SET user_content = :val",
      ExpressionAttributeValues={':val': user_input}
  )
  

  绝对避免类似UpdateExpression=f"SET user_content = '{user_input}'"的写法，这会让恶意输入直接破坏表达式结构。

• 严格校验输入的类型、格式与长度
  DynamoDB对属性有明确约束（如字符串最大400KB、数字需为合法数值），提前做校验：

  • 类型校验：比如预期为字符串时，过滤二进制或非法格式数据；预期为数字时用try-except验证转换合法性。
  • 长度限制：防止用户输入超大数据占用存储或导致写入失败。
  • 格式校验：用正则匹配邮箱、手机号等固定格式的输入，过滤不符合规则的内容。

• 谨慎处理用户输入作为主键/排序键的场景
  主键是DynamoDB的核心标识，直接用用户输入做主键风险极高：

  • 避免原始输入直接作为键：恶意输入可能包含特殊字符（斜杠、换行）导致后续查询异常，或覆盖已有合法数据。建议给输入加固定前缀（如user_submit_ + 清洗后的输入），或对原始输入做哈希（SHA256等），将哈希值作为键，原始内容存在普通属性中。
  • 加条件判断防止覆盖：写入主键时用ConditionExpression="attribute_not_exists(partition_key)"，确保不会覆盖已有数据。

• 限制写入的属性范围
  不要让用户输入控制所有写入属性，比如你的表仅包含item_id、user_content、create_time三个字段，写入时明确指定这三个字段，忽略用户输入中的额外键值对，避免恶意插入未知属性。

• 加密敏感数据
  若用户输入包含密码、身份证号等敏感信息：

  • 用AWS KMS进行服务器端加密（SSE-KMS），或在客户端加密后再写入。
  • 密码类数据必须做哈希处理（如用bcrypt库），绝对禁止存储原始密码。

• 启用细粒度IAM权限控制
  给Python函数对应的IAM角色分配最小必要权限：

  • 仅允许访问目标DynamoDB表，禁止访问其他AWS资源。
  • 仅授权必要操作（如put_item、update_item），不要授予DeleteItem、Scan等非必需权限。

• 用ConditionExpression约束操作前提
  写入或更新时，通过条件表达式限制操作的触发条件：

  • 写入时检查主键不存在，避免意外覆盖；
  • 更新时检查数据状态（如仅当status为draft时允许修改），防止恶意篡改已发布内容。

内容的提问来源于stack exchange，提问作者David_Springfield