如何在Tornado异步框架中防御高并发SQL注入攻击-SQL-PHP中文网

必须使用参数化查询并确保异步不阻塞IOLoop，因tornado.database和torndb仅字符串替换、无预编译，易遭SQL注入；正确做法是pymysql.execute()配元组参数，动态SQL片段须白名单校验。

如何在tornado异步框架中防御高并发sql注入攻击

直接用 tornado.database 或字符串拼接执行 SQL，哪怕并发再低也挡不住 SQL 注入；高并发下反而更危险——攻击者可批量发送恶意参数，一次击穿多个连接。必须同时满足两个条件：参数化查询 + 异步不阻塞 IOLoop。

为什么 `tornado.database` 和 `torndb` 不能防注入

这两个模块在 Tornado 6.0+ 中已被移除或弃用，底层不做预编译，只做字符串替换。比如写 "WHERE name = '%s'" % user_input，传入 admin' OR '1'='1 就直接绕过验证。它不区分 SQL 结构与数据，所有输入都当字符串插进去，Unicode 多字节编码还能绕过简单转义。

常见错误现象：

日志里看到 SELECT * FROM users WHERE name = 'admin' OR '1'='1' 这类明显被篡改的语句
数据库慢查询日志中出现大量非常规 UNION SELECT 或 EXTRACTVALUE 调用
单条恶意请求导致整张用户表被拖库，且无报错

正确做法：用 `pymysql.execute()` 配合元组参数

这是目前最稳、最轻量、兼容性最好的组合。关键不是“用了什么驱动”，而是“怎么传参”。

必须遵守的规则：

占位符只能是 %s，不是 ? 或 :name；用错会抛 ValueError
参数必须是元组（单值也要写成 (uid,)）或字典（{"id": uid}），不能是列表或字符串
self.db 应是复用的 pymysql.Connection 实例，不要每次新建连接
不要在 handler 中直接调用 execute() —— 它是同步阻塞的，会卡住 IOLoop

示例片段（安全且非阻塞）：

Tavus

Tavus是一款面向开发者的实时 AI 视频分身和个性化视频 API 平台。

下载

import pymysql
from tornado.concurrent import run_on_executor
from concurrent.futures import ThreadPoolExecutor
<p>executor = ThreadPoolExecutor(max_workers=4)</p><p>class UserHandler(tornado.web.RequestHandler):
@run_on_executor
def _db_query(self, uid):
with self.db.cursor() as cur:
cur.execute("SELECT * FROM users WHERE id = %s AND status = %s", (uid, "active"))
return cur.fetchone()</p><pre class="brush:php;toolbar:false;">async def get(self):
    uid = self.get_argument("id", "")
    result = await self._db_query(uid)
    self.write(str(result))

动态 SQL 片段（如 `ORDER BY`、`LIMIT`）必须白名单校验

execute() 只保护值（value），不保护标识符（identifier）。URL 参数带 ?sort=name，直接拼进 SQL 就等于开门揖盗。

正确处理方式：

定义白名单映射：valid_sorts = {"id": "id", "name": "name", "created_at": "created_at"}
从请求中取值后仅做键查找：sort_field = valid_sorts.get(self.get_argument("sort", "id"), "id")
拼接时只用白名单里的字符串：f"ORDER BY {sort_field}"，绝不用 %s 占位
禁止任何形式的用户输入进入 SQL 结构部分，包括表名、字段名、函数名

容易忽略的点：白名单要硬编码或从配置加载，不能从数据库查、不能从 Redis 读、不能走任何外部 IO，否则白名单本身就成了新的注入入口。