动态查询接口中SQL注入与越权访问风险分析及防护
魏铭辛 韦嘉材^{（通讯作者）}

桂林电子科技大学，广西省桂林市，541004；

摘要：针对内容管理系统动态查询接口面临的SQL注入与越权访问风险，本文以某Java CMS异常访问事件为研究对象，梳理请求参数由HTTP接口传递至数据库查询的过程。分析表明，数据库防火墙虽能识别部分异常SQL，却难以判断语法合法的字段是否超出用户权限；若接口权限校验失败后未能可靠终止处理流程，数据泄露风险将进一步扩大。对此，本文提出一种纵深防护方法，包括接口前置控制、动态字段白名单、参数化查询、数据库执行约束和日志审计。实验设置原始系统、数据库侧防护和完整防护三个组别。三轮测试结果显示，三组攻击请求的平均阻断率分别为10.67%、48.00%和99.56%。完整防护组未检测到敏感数据泄露，正常业务成功率保持为100%，P95响应时间增加9.52%。结果表明，动态查询接口的安全治理不能仅依赖SQL语法检测，还需同时约束接口访问权限和动态查询范围。

关键词：动态SQL；SQL注入；越权访问；纵深防御；内容管理系统

参考文献

[1]马博林，张铮，刘浩，等.SQLMVED：基于多变体执行的SQL注入运行时防御系统[J].通信学报，2021，42（4）：127-138.DOI：10.11959/j.issn.1000-436x.2021046.

[2]韩国华，张正宜.探索Java中的SQL攻击及其防御策略[J].网络安全技术与应用，2024（7）：63-65.

[3]胡吉祥，田嘉豪.面向Web应用的SQL注入攻击与防御[J].网络安全技术与应用，2022（10）：19-20.

[4]何海涛，许可，杨帅林，等.基于博弈的Web应用程序中访问控制漏洞检测方法[J].通信学报，2024，45（6）：117-130.DOI：10.11959/j.issn.1000-436x.2024078.

[5]宋虹，马俊龙，王伟平，等.基于响应相似性判定的Web越权漏洞测试方法[J].信息安全学报，2025，10（2）：17-29.DOI：10.19363/J.cnki.cn10-1380/tn.2025.03.02.

[6]国家市场监督管理总局，国家标准化管理委员会.信息安全技术网络安全等级保护测评要求：GB/T28448—2019[S].2019.