在全文索引搜索场景下如何防止搜索引擎发生SQL注入-SQL-PHP中文网

mysql fulltext搜索必须用match against且严禁拼接用户输入；字段名和搜索模式需白名单校验，关键词须php净化后绑定参数，旧版mysql不支持against内问号绑定，布尔符号等需预设模式而非直传。

在全文索引搜索场景下如何防止搜索引擎发生sql注入

MySQL FULLTEXT 搜索必须用 MATCH AGAINST，不能拼接字符串

MySQL 的 MATCH ... AGAINST 语法本身不支持参数化占位符，但它的字段列表（列名）和搜索模式（IN NATURAL LANGUAGE MODE 等）是固定语法的一部分，**不能由用户输入动态决定**。一旦你把用户关键词直接拼进 AGAINST('xxx')，就等于开了注入后门。

❌ 危险写法：$stmt = $pdo->prepare("SELECT * FROM articles WHERE MATCH(title, content) AGAINST('{$_GET['q']}')"); —— 单引号、括号、+ - ~ * 都可能破坏语法或触发布尔逻辑
✅ 安全做法：始终用 PHP 处理关键词净化，再传入 AGAINST(?, IN NATURAL LANGUAGE MODE)；注意：MySQL 8.0.22+ 才支持对 AGAINST() 内部参数做问号绑定，旧版本必须靠 PHP 层过滤
关键词中若含单引号、双引号、括号、加减号、波浪号、星号，应统一替换为空格或移除（不是转义），因为 FULLTEXT 解析器会按规则分词，乱码反而导致无结果或报错

LIKE 模糊搜索 + 全文索引混用时，通配符必须在 PHP 层添加

有些场景既要支持前缀匹配（如 name LIKE 'abc%'），又要利用全文索引加速，容易误把 % 拼进 SQL 字符串里。只要用户输入进了 SQL 字面量，哪怕用了 prepare()，也挡不住绕过。

❌ 错误示范：$stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE ?"); $stmt->execute(["%{$_GET['q']}%"]); —— 若 $_GET['q'] 是 abc%'，拼出来就是 '%abc%' OR 1=1-- '
✅ 正确流程：$q = trim($_GET['q'] ?? ''); $q = preg_replace('/['";\\%_]/', '', $q); $stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE CONCAT('%', ?, '%')"); $stmt->bindValue(1, $q, PDO::PARAM_STR);
注意：如果字段已建了 FULLTEXT 索引，LIKE 就无法走索引，性能会断崖下跌；此时应改用 MATCH ... AGAINST 或拆成两个查询分支（全文查主干 + LIKE 查补漏）

排序字段、搜索模式等动态 SQL 片段必须白名单校验

用户常要求“按热度排序”“按时间倒序”“用布尔模式搜”，这些不是数据值，而是 SQL 结构的一部分，没法参数化，只能靠白名单控制。

极简智能王

一款集合AI聊天、绘画、写作、翻译和编程等能力的综合型AI助手，帮助用户处理多种日常学习与工作任务。

下载

排序字段只允许：title、published_at、relevance（后者需配合 MATCH 返回的 SCORE()）
排序方向只允许：ASC、DESC，且必须用 in_array($sort, ['ASC','DESC'], true) 判断，不能只用 strtoupper()
FULLTEXT 模式只允许：IN NATURAL LANGUAGE MODE、IN BOOLEAN MODE、WITH QUERY EXPANSION；禁止用户传入任意字符串拼进 AGAINST(...) 后面
拼接前务必用 preg_match('/^[a-zA-Z0-9_]+$/', $field) 过滤字段名，防止注入表名或函数调用

Flask/SQLAlchemy 中别碰 text() + 用户输入，哪怕带命名参数

很多人以为 text("MATCH(title) AGAINST(:q)") 加了 :q 就安全，其实不是。SQLAlchemy 的 text() 默认只是字符串替换，底层驱动若没开启强制参数化（比如某些旧版 psycopg2 或未配 use_native_unicode=False），:q 会被原样插进去。

✅ 安全路径：from sqlalchemy import func; results = session.query(Article).filter(func.match(Article.title, q).op('AGAINST')(q)).all()（需 SQLAlchemy 2.0+）
✅ 更稳写法：用 ORM 的 filter() 配合 func.match() 或原生 select().where()，确保走参数化执行链
❌ 危险组合：session.execute(text("SELECT * FROM article WHERE MATCH(title) AGAINST(:q)"), {'q': user_input}) —— 表面像参数化，实则可能被绕过
如果非用 text()，必须确认数据库方言明确支持该参数绑定机制，并在连接 URL 加 ?prepared_statement=True（MySQL）或启用 use_binds=True