在自动化运维脚本中通过Bash调用SQL时如何防范注入？-SQL-PHP中文网

必须杜绝直接拼接变量进MySQL命令行，应使用python等语言配合参数化查询，或严格白名单校验；数据库账号须遵循最小权限原则。

在自动化运维脚本中通过bash调用sql时如何防范注入？

直接拼接变量进 mysql 命令行几乎必然导致 SQL 注入，尤其在自动化脚本中常混用用户输入（如主机名、标签、ID）和 SQL 逻辑，必须杜绝 mysql -e "SELECT * FROM t WHERE name = '$name'" 这类写法。

用 mysql --defaults-file 隔离凭证与语句

避免在命令行暴露密码，也防止参数被 shell 层或 SQL 层二次解析。关键不是“怎么传参数”，而是“不让参数进命令字符串”。

mysql 命令本身不支持安全的参数化查询，--defaults-file 是唯一能绕过命令行拼接的官方机制
动态生成临时配置文件（权限 600），只包含 [client] 段和 user/password/host，不写 database
SQL 逻辑改用 mysql --defaults-file=/tmp/cred.cnf -D mydb + 标准输入传入，例如：
```
echo "SELECT * FROM hosts WHERE hostname = ?" | mysql --defaults-file=/tmp/cred.cnf -D infra
```
—— 注意：这里 ? 不会被识别，仅作占位示意；实际仍需外部处理

真正安全的做法：用 Python/Perl 等语言做中间层

Bash 本身没有参数化 SQL 能力，硬要在 shell 里“过滤单引号”或“转义反斜杠”是徒劳的——攻击者可用十六进制编码、宽字节截断、注释符绕过所有简单过滤。

把高风险操作（如根据用户输入查表、删记录、建库）全部交给 python3 -c 或独立脚本，使用 sqlite3（内置）或 pymysql/mysql-connector-python

示例（安全）：

python3 -c "
import sys, pymysql
conn = pymysql.connect(read_default_file='/etc/mysql/deploy.cnf', database='infra')
with conn.cursor() as cur:
    cur.execute('SELECT ip FROM servers WHERE env = %s AND role = %s', (sys.argv[1], sys.argv[2]))
    print(cur.fetchone()[0] if cur.rowcount else '')
" prod web

禁止在 python -c 中拼接 sys.argv 到 SQL 字符串里；必须用 %s 占位符，由驱动完成绑定

如果非得用纯 Bash，只能限制输入为严格白名单

适用于 ID、状态码、枚举值等已知有限集合的场景，不是“防注入”，而是“砍掉注入可能性”。

用 case 显式列出所有合法值：

case "$env" in
  prod|staging|dev) : ;;
  *) echo "Invalid env: $env" >&2; exit 1 ;;
esac

数字 ID 必须用 [[ "$id" =~ ^[0-9]+$ ]] || exit 1，不能只检查是否非空
绝对不要对 hostname、username、路径类字段做白名单——它们天然不可穷举，此时 Bash 就不该碰 SQL

最易被忽略的一点：即使用了参数化查询，若数据库账号权限过大（比如赋予了 DROP TABLE 或 LOAD_FILE），一次注入失败也可能因权限失控导致横向渗透。自动化脚本连接数据库的账号，必须按最小权限原则单独创建，且禁用 FILE、PROCESS、SUPER 等高危权限。