【公益译文】设计安全警报：消灭软件中的SQL注入漏洞
原文中文，约2600字，阅读约需7分钟。
📝
内容提要
CISA和FBI敦促技术厂商检查和消除SQL注入漏洞，使用参数化查询和准备好的语句，实现安全设计计划保护客户安全。
🔎
延伸解读
SQL注入为何成为“持久型”漏洞
文章指出，SQL注入漏洞已被广泛了解二十多年，且2004年MySQL就引入了预编译语句，但软件厂商仍不断开发出存在该漏洞的产品。CWE-89在2023年最危险软件漏洞前25名中依然榜上有名。这说明问题不在于缺乏技术方案，而在于开发实践中未将安全设计作为默认标准，导致本可避免的漏洞反复出现。
参数化查询优于输入过滤
文章明确建议使用参数化查询和准备好的语句，将SQL代码与用户数据分离，确保用户输入被视为数据而非可执行代码。部分开发人员试图通过输入过滤防止SQLi，但文章指出这类技术较弱、难以大规模实施且经常被绕过。因此，参数化查询更符合安全设计理念，应作为软件开发的标准做法。
厂商透明披露与领导责任
文章强调厂商应通过CVE程序披露漏洞，并确保CWE记录准确完整，以便客户追踪漏洞类别并了解厂商开发实践的改进空间。同时，领导者应将安全作为商业目标，制定激励结构，投资主动措施如参数化查询，并持续审查消除各类漏洞，而非仅被动响应单个事件。
❓
Q&A
什么是SQL注入漏洞？
SQL注入漏洞是攻击者利用用户输入直接插入SQL命令，从而进行任意查询的安全漏洞。
CISA和FBI对技术厂商提出了什么建议？
CISA和FBI建议技术厂商检查代码，消除SQL注入漏洞，并实施参数化查询和准备好的语句。
如何防止SQL注入漏洞的产生？
开发人员应使用参数化查询和准备好的语句，将SQL代码与用户输入分离，以避免SQL注入漏洞。
设计安全（Secure by Design）是什么？
设计安全是指在产品设计、开发和发布的全过程中，防止恶意攻击者利用漏洞的安全设计理念。
厂商在处理产品漏洞时应遵循哪些原则？
厂商应遵循透明度和问责制、掌握客户安全成果的所有权、以及通过组织结构和领导力实现安全目标的原则。
SQL注入漏洞的影响有哪些？
成功利用SQL注入漏洞可能导致敏感信息被窃取、数据被篡改或删除，严重影响数据库的机密性、完整性和可用性。
🏷️
