Node环境下如何检测Express API接收的userInput是否包含SQL注入

重要提示：请求参数的注入特征检测只是SQL注入防护的补充手段，最根本的防护方案是始终使用参数化查询/预编译语句执行数据库操作，绝对禁止直接拼接用户输入生成SQL字符串，从根源避免注入风险。

实现步骤 #

1. 整理注入特征匹配规则 #

根据你给出的常见SQL注入 payload 特征，可编写正则规则匹配注入关键词、恒真/恒假判断、SQL注释符、系统变量查询等注入特征：

// 不区分大小写的SQL注入特征匹配正则
const sqlInjectReg = /(\b(OR|AND|HAVING|UNION|SELECT|DROP|INSERT|UPDATE|DELETE|WHERE|ORDER BY|RLIKE|IF|CASE|SUBSTRING|@@version)\b\s*(\d+=\d+|'[^']+'='[^']+|.*--|.*#)|0x[0-9a-fA-F]+|\bLIKE\b.*%|\bAS\s+\w+\s+WHERE)/i

如果你的业务场景确实需要允许用户输入上述关键词，可调整正则规则降低误判概率，也可引入成熟的开源注入检测库减少规则维护成本。

2. 开发Express统一检测中间件 #

通过Express中间件实现全局/指定路由的参数检测，避免每个接口重复编写校验逻辑：

const sqlInjectCheckMiddleware = (req, res, next) => {
  // 提取待检测的userInput参数，可扩展检测所有请求参数、URL查询参数
  const userInput = req.body?.userInput || ''
  if (sqlInjectReg.test(userInput.trim())) {
    // 匹配到注入特征直接拦截请求
    return res.status(400).json({
      code: 400,
      message: '请求包含非法内容，已被拦截'
    })
  }
  next()
}

3. 挂载中间件生效 #

两种挂载方式可按需选择：

• 全局挂载：所有接口都会做注入检测

const express = require('express')
const app = express()
// 先挂载请求体解析中间件，才能获取到req.body参数
app.use(express.json())
app.use(sqlInjectCheckMiddleware)
// 后续的业务路由定义

• 指定路由挂载：仅需要校验userInput的接口启用检测

// 仅目标接口挂载检测中间件
app.post('/your/business/api', sqlInjectCheckMiddleware, (req, res) => {
  // 正常业务逻辑处理
  res.json({ code: 200, message: '请求成功' })
})

额外防护建议 #

• 可叠加访问频率限制、恶意IP自动封禁等策略，降低被批量注入攻击的风险
• 生产环境关闭数据库错误详情返回，避免攻击者通过报错信息获取数据库结构信息
• 数据库账号遵循最小权限原则，禁止给业务账号分配DROP、ALTER等高风险操作权限

内容的提问来源于stack exchange，提问作者Ashish Butola