遇见Golang|【SQL注入】关于GORM的SQL注入问题 sql|数据库|mysql|拥抱未来

1. 问题提出
2. 例子
- 例子 1
- 例子2
3. 总结

1. 问题提出大家觉得这样写的 sql 会发生sql 注入吗？

文章图片

答案是肯定的。那么我们知道，一旦发生字符串的拼接，就会产生这个sql注入的问题。但有同学会疑惑，这个 sql 语句，难道gorm不会帮忙预检测的吗？

2. 例子例子 1 那么我们可以来实践一下下面两种写法

字符串拼接

id := "031904102" + " AND 1=1 " where := "stu_number=" + id err := DB.Model(&User{}).Where(where).Find(&user).Error if err != nil { fmt.Println(err) }

直接使用占位符

user2 := []User{} err = DB.Model(&User{}).Where("stu_number=?", id).Find(&user2).Error if err != nil { fmt.Println(err) }

通过打印出执行地SQL语句，我们可以发现这个情况，其实第一种情况的写法这是不行的，因为这里SQL发生了注入，本来只查一条 stu_number 为 031904102的，但是由于后面注入了 1=1 所以把数据库里面的信息全部查出来了。

文章图片

第一种的这里是有危险的。，那么我们如何将这个防止呢？其实我们只要按照上面第二种这种做法就好了。因为这样我们才能很好地通过占位符来进行判断。
例子2 那么我们再来看看如果注入了两条SQL语句会怎么样？
比如说这个

文章图片

我们直接注入了drop table notice 。那么最终的SQL语句如下：

SELECT * FROM `user` WHERE stu_number=031904102; drop table notice;

这个在SQL里面肯定是可以执行的。但是在gorm这个框架中是不能执行的。

文章图片

3. 总结 【遇见Golang|【SQL注入】关于GORM的SQL注入问题】所以说我们要避免使用字符串直接拼接的形式来进行SQL的查询。

遇见Golang|【SQL注入】关于GORM的SQL注入问题

推荐阅读

什么鸟儿是飞行家

古风笔名

怀孕初期吃什么好怀孕初期饮食原则

redis查看当前是哪个数据库查看redis数据库版本

【创融同学会征4动态】征4创融跑团戈壁挑战赛备战会议圆满成功

现在的英雄联盟满攻速是点那个符文？

蟹蒸出来怎么蟹黄变黑了

柠檬女孩什么意思柠檬女孩的意思

tr4

佳能万能版清零软件-打印机清零软件怎么下载

Android开源日志库Logger

牵牛花种子什么时候种植牵牛花种子什么时候种

西门子燃气灶显示灯解决方法有哪些？

夏季吃红辣椒可以预防中暑

大豆纤维被孔数越多越好吗

牛抄藤

usbcan分析仪

青海信创服务器在知乎上的评价如何？青海信创服务器怎么样知乎

怎样培殖蚯蚓水蚯蚓培育方法

中国联通手机营业厅100M全国流量免费领升级即可领取