为何Node.js中MySQL多语句选项会扩大SQL注入范围？如何安全使用？

你的核心疑问问到点子上了——用参数化查询（?占位符）在多语句场景下确实能防止参数本身的SQL注入，但开启多语句选项之所以会扩大攻击范围，问题出在SQL语句的构建方式上，而非参数化本身。咱们一步步拆解清楚：

1. 你的示例代码是安全的，原因在这里 #

先看你给出的这段代码：

let sql = "UPDATE auth_user SET last_login=now() WHERE username=?; SELECT id, nickname FROM auth_user WHERE username = ? LIMIT 1"; 
let params = [username, username]; 
pool.getConnection(function(err, conn){ 
  conn.query(sql, params, (err, datas, fields)=>{/*...*/}
});

当你使用?占位符时，Node.js的MySQL驱动会自动将参数转义为安全的字符串。比如如果有人传入恶意的username = "foo'; DROP TABLE auth_user;--"，驱动会把这个值转义成类似'foo\'; DROP TABLE auth_user;--'的形式——数据库会把整个内容当成username字段的查询值，不会解析分号后面的DROP语句。这种情况下，单语句和多语句模式的注入风险确实是一致的。

2. 为什么开启多语句会扩大攻击范围？ #

多语句模式的风险不是来自参数化的参数，而是来自SQL语句本身的动态拼接。举个典型的错误示例：

// 危险：直接用用户输入拼接表名
let tableName = req.body.table;
let sql = `UPDATE ${tableName} SET last_login=now() WHERE username=?`;

如果攻击者传入tableName = "auth_user; DROP TABLE auth_user;--"，在多语句模式下，这条SQL会被解析成两个独立的执行语句：

UPDATE auth_user SET last_login=now() WHERE username=?; 
DROP TABLE auth_user;--" SET last_login=now() WHERE username=?

数据库会依次执行这两个操作，直接造成数据丢失；而单语句模式下，数据库会直接抛出语法错误（不允许分号后的额外语句），从而阻止恶意操作。

简单来说：多语句模式给了攻击者“在一条SQL里塞进多个恶意语句”的可能性——如果你的SQL构建存在字符串拼接漏洞，攻击者的破坏性会比单语句模式大得多。

3. 如何安全使用多语句模式？ #

如果你确实需要开启多语句选项，必须严格遵守以下规则：

• 绝对禁止用用户输入拼接SQL的任何部分：表名、列名这类无法用占位符的动态内容，必须用白名单过滤（比如预先定义允许操作的表名列表，不在列表里的直接拒绝），绝不直接拼接用户输入。
• 全程使用参数化查询：所有用户可控的变量都必须通过?占位符传入，绝不手动拼接字符串。
• 限制数据库账号权限：给应用使用的MySQL账号只赋予必要的权限（比如只能执行SELECT、UPDATE，不能执行DROP、ALTER、CREATE等危险操作）。就算真的出现注入，也能把损失降到最低。
• 只在必要时开启多语句：如果可以拆成多个独立的conn.query()调用完成业务逻辑，尽量不要开启多语句模式——减少风险暴露面永远是安全的第一原则。

总结 #

参数化查询在多语句模式下依然能有效防止参数层面的SQL注入，但多语句模式让SQL注入的潜在危害被放大了（攻击者可以一次性执行多个恶意操作）。只要你能确保所有SQL语句都是安全构建的（无用户输入拼接），那开启多语句模式是安全的；但如果你的代码存在字符串拼接的漏洞，多语句模式会让这个漏洞的破坏力呈指数级上升。

内容的提问来源于stack exchange，提问作者dizwe