FastAPI 面试题目录

FastAPI 如何防止 SQL 注入？

推荐答案

在 FastAPI 中，防止 SQL 注入的最佳实践是使用 ORM（对象关系映射）工具，如 SQLAlchemy 或 PeeWee，或者使用参数化查询。以下是具体的实现方法：

使用 ORM 工具：
- ORM 工具会自动处理 SQL 注入问题，因为它们会将用户输入的数据进行转义或参数化处理。
- 例如，使用 SQLAlchemy 时，可以通过模型类进行数据库操作，而不是直接编写 SQL 语句。
```
from sqlalchemy.orm import Session
from models import User

def get_user(db: Session, user_id: int):
    return db.query(User).filter(User.id == user_id).first()
```
使用参数化查询：
- 如果必须使用原生 SQL 查询，应使用参数化查询来防止 SQL 注入。
- 例如，使用 execute 方法时，将用户输入作为参数传递，而不是直接拼接 SQL 字符串。
```
from sqlalchemy import text

def get_user(db: Session, user_id: int):
    query = text("SELECT * FROM users WHERE id = :user_id")
    result = db.execute(query, {"user_id": user_id})
    return result.fetchone()
```

本题详细解读

什么是 SQL 注入？

SQL 注入是一种常见的 Web 安全漏洞，攻击者通过在用户输入中插入恶意的 SQL 代码，从而操纵数据库查询。这可能导致数据泄露、数据篡改，甚至数据库服务器的完全控制。

为什么 ORM 和参数化查询能防止 SQL 注入？

ORM 工具：
- ORM 工具（如 SQLAlchemy）通过将数据库操作抽象为对象和方法调用，避免了直接拼接 SQL 字符串的需要。
- ORM 会自动对用户输入进行转义或参数化处理，确保输入数据不会被解释为 SQL 代码。
参数化查询：
- 参数化查询通过将用户输入作为参数传递给 SQL 查询，而不是直接拼接在 SQL 字符串中。
- 数据库引擎会将这些参数视为数据，而不是可执行的 SQL 代码，从而防止 SQL 注入。

示例分析

假设有一个简单的用户查询功能，用户可以通过 user_id 查询用户信息。以下是两种实现方式的对比：

不安全的实现（直接拼接 SQL 字符串）：
```
def get_user(db: Session, user_id: int):
    query = f"SELECT * FROM users WHERE id = {user_id}"
    result = db.execute(query)
    return result.fetchone()
```
- 如果 user_id 是用户输入的，攻击者可以输入 1; DROP TABLE users; --，这将导致 SQL 注入攻击。

安全的实现（使用参数化查询）：

def get_user(db: Session, user_id: int):
    query = text("SELECT * FROM users WHERE id = :user_id")
    result = db.execute(query, {"user_id": user_id})
    return result.fetchone()

使用参数化查询后，user_id 会被视为参数，而不是 SQL 代码的一部分，从而防止 SQL 注入。

总结

在 FastAPI 中，防止 SQL 注入的关键是避免直接拼接 SQL 字符串，而是使用 ORM 工具或参数化查询来处理用户输入。这样可以有效防止恶意用户通过输入恶意 SQL 代码来攻击数据库。

上一篇： FastAPI 如何进行安全加固？

下一篇： FastAPI 如何防止跨站脚本攻击 (XSS)？

纠错
反馈