Java中用于SQL注入防护的正则匹配遇换行符失效如何解决

原有规则失效的根本原因 #

• Java的Pattern类默认配置下，.元字符仅匹配除换行符（\r、\n）之外的任意字符，原正则大量依赖.做通配，一旦DROP关键字所在位置前后存在换行，匹配流程就会直接中断，无法穿透JSON字符串内的换行结构完成特征识别。
• 原正则存在语法冗余与错误：(\b)+的写法把零宽的词边界断言做了重复量词修饰，没有实际匹配增益；全匹配模式的匹配逻辑和“识别字符串内是否存在注入特征”的检测目标不匹配，进一步放大了换行带来的匹配失败问题。

可直接使用的修正方案 #

• 匹配逻辑启用DOTALL模式：该模式下.元字符可以匹配包括换行符在内的所有字符，打通带换行的长字符串的匹配链路。
• 重构正则结构，去掉无意义的通配分组，最终可稳定命中目标SQL注入特征的正则表达式为：
  (?is)\bDROP\b\s+TABLE\b
  其中内联标记(?is)的作用分别是：开启大小写不敏感匹配、开启DOTALL换行兼容模式，和编译时传入对应flag的效果完全等价。

Java实现示例 #

• 编译时显式指定模式的写法：

  // 同时开启大小写不敏感、换行匹配支持
  Pattern sqlInjectPattern = Pattern.compile("\\bDROP\\b\\s+TABLE\\b", Pattern.CASE_INSENSITIVE | Pattern.DOTALL);
  Matcher matcher = sqlInjectPattern.matcher(包含\r\n换行、gender字段嵌入注入payload的JSON字符串);
  boolean hitResult = matcher.find(); // 可正常命中"DROP table users"的注入特征
  

• 内联标记写法：无需在编译方法中额外传入模式参数，直接在正则开头嵌入模式标记即可：

  Pattern sqlInjectPattern = Pattern.compile("(?is)\\bDROP\\b\\s+TABLE\\b");
  

落地注意事项 #

• 特征检测场景不要使用matches()全匹配方法：该方法要求正则完全覆盖整个输入字符串，和“只要命中特征即触发拦截”的防护逻辑不匹配，统一使用find()做子串特征识别，准确率和运行效率更高。
• 不要过度依赖通配符做特征匹配：原正则中无意义的(.*)分组会拉长正则引擎的回溯路径，精简特征匹配逻辑的结构，可以显著降低规则的误报率和性能开销。

内容的提问来源于stack exchange，提问作者Timothy