使用jQuery Query Builder生成SQL时如何防范SQL注入？

嘿，我完全懂你的顾虑——当用户能通过浏览器开发者工具随便篡改AJAX请求里的查询内容时，SQL注入确实是个实打实的安全隐患。不过咱们可以从几个核心环节入手，彻底把这个漏洞堵上：

1. 绝对不要在前端构造完整SQL语句 #

这是最关键的第一步！前端只需要传递结构化的筛选规则（也就是Query Builder生成的rules数组），而不是拼接好的SQL字符串。这样就算用户篡改请求，也只能修改筛选条件的参数，没法直接注入恶意SQL代码。

举个前端AJAX请求的示例：

// 从Query Builder获取结构化的筛选规则
const queryRules = $('#builder').queryBuilder('getRules');

// 发送规则数据给服务器，而非拼接好的SQL
$.ajax({
  url: '/your-server-endpoint',
  method: 'POST',
  contentType: 'application/json',
  data: JSON.stringify({ filterRules: queryRules }),
  success: (response) => {
    // 处理返回的查询结果
    console.log(response);
  }
});

2. 服务器端使用参数化查询（Prepared Statements） #

这是防范SQL注入的黄金标准，几乎所有后端语言和数据库都支持。参数化查询会把SQL逻辑和用户输入的参数分开处理，数据库会自动对参数进行转义，彻底杜绝注入风险。

举个PHP+PDO的服务器端示例（其他语言逻辑类似）：

// 接收前端传来的规则数据
$inputData = json_decode(file_get_contents('php://input'), true);
$filterRules = $inputData['filterRules'] ?? [];

// 定义允许使用的字段白名单（必须和你Query Builder里的filters对应）
$allowedFields = ['CITY', 'AGE', 'USER_NAME'];
// 定义允许的操作符白名单
$allowedOperators = ['=', '!=', 'contains', '>', '<'];

// 初始化查询条件和参数数组
$conditions = [];
$params = [];
$targetTable = 'your_target_table'; // 固定表名，或用白名单限制

// 遍历规则构建安全的SQL条件
foreach ($filterRules as $rule) {
    // 校验字段是否在白名单内，非法字段直接拒绝请求
    if (!in_array($rule['id'], $allowedFields)) {
        http_response_code(400);
        echo json_encode(['error' => '非法字段']);
        exit;
    }
    
    // 校验操作符是否合法
    if (!in_array($rule['operator'], $allowedOperators)) {
        http_response_code(400);
        echo json_encode(['error' => '非法操作符']);
        exit;
    }

    // 把Query Builder的操作符映射为SQL操作符
    $sqlOperator = match($rule['operator']) {
        'contains' => 'LIKE',
        default => $rule['operator']
    };

    // 处理LIKE查询的通配符
    $paramValue = $rule['value'];
    if ($sqlOperator === 'LIKE') {
        $paramValue = "%{$paramValue}%";
    }

    // 添加条件语句和参数
    $conditions[] = "`{$rule['id']}` {$sqlOperator} ?";
    $params[] = $paramValue;
}

// 构建最终SQL
$sql = "SELECT * FROM {$targetTable}";
if (!empty($conditions)) {
    $sql .= ' WHERE ' . implode(' AND ', $conditions);
}

// 使用参数化查询执行
try {
    $pdo = new PDO('mysql:host=your-db-host;dbname=your-db-name', 'db-user', 'db-pass');
    $stmt = $pdo->prepare($sql);
    $stmt->execute($params);
    $result = $stmt->fetchAll(PDO::FETCH_ASSOC);
    
    echo json_encode($result);
} catch (PDOException $e) {
    http_response_code(500);
    echo json_encode(['error' => '查询失败']);
}

3. 严格的输入校验与白名单机制 #

除了上面的字段和操作符校验，你还可以：

• 针对字段类型做校验：比如AGE是数字类型，就检查用户传入的value是否为有效数字；CITY是字符串，就限制长度或过滤非法字符。
• 限制查询的返回条数：避免恶意用户通过构造复杂查询拖垮数据库。

4. 额外的安全加固建议 #

• 最小权限原则：给连接数据库的服务器账号分配最小必要权限（比如只能执行SELECT，不能执行DROP、ALTER等危险操作）。
• 日志监控：记录异常请求（比如使用非法字段、操作符的请求），及时发现潜在的攻击行为。
• 前端校验仅作体验优化：前端可以做一些基础校验（比如必填项、格式检查），但绝对不能依赖前端校验来保障安全——因为前端代码可以轻易被篡改。

内容的提问来源于stack exchange，提问作者Rüzgar