在数据库开发中，Blob类型字段用于存储二进制大对象，比如图片、音频、压缩包等文件数据，这类字段的SQL注入攻击往往容易被开发者忽视。攻击者可以通过构造包含恶意SQL片段的二进制流，在写入或查询Blob数据时触发注入漏洞，因此做好针对Blob类型的SQL注入防御和二进制流合法性校验十分必要。
Blob类型SQL注入的常见攻击场景
攻击者通常会利用Blob字段写入时的参数拼接漏洞发起攻击，比如在文件上传场景中，将恶意SQL语句编码到二进制文件内容里，当后端直接将二进制流拼接进SQL语句执行时，就会触发注入。常见的攻击场景有以下两类：
- 写入阶段注入：后端未对二进制流做校验，直接将用户上传的文件内容拼接到INSERT语句的Blob字段值中，恶意内容被执行。
- 查询阶段注入：查询Blob字段时，将用户传入的二进制参数直接拼接到WHERE条件中，被攻击者利用构造恶意查询逻辑。
二进制流合法性校验的核心原则
对Blob类型的二进制流做校验，需要从文件格式、内容边界、参数化传递三个维度入手，避免恶意内容被写入或执行：
1. 文件格式校验
根据业务允许的文件类型，校验二进制流的魔术数字（Magic Number），也就是文件开头的固定字节标识，避免上传非预期格式的文件。比如图片类Blob只允许JPEG、PNG等格式的魔术数字：
import java.io.InputStream;
import java.util.HashMap;
import java.util.Map;
public class BlobFormatValidator {
// 常见图片格式的魔术数字映射
private static final Map<String, byte[]> FORMAT_MAGIC = new HashMap<>();
static {
// JPEG 开头两个字节 0xFF 0xD8
FORMAT_MAGIC.put("jpeg", new byte[]{(byte)0xFF, (byte)0xD8});
// PNG 开头八个字节 0x89 0x50 0x4E 0x47 0x0D 0x0A 0x1A 0x0A
FORMAT_MAGIC.put("png", new byte[]{(byte)0x89, 0x50, 0x4E, 0x47, 0x0D, 0x0A, 0x1A, 0x0A});
}
/**
* 校验二进制流是否符合指定格式的魔术数字
* @param inputStream 二进制流输入
* @param expectedFormat 预期格式，如jpeg、png
* @return 校验通过返回true
*/
public static boolean validateMagic(InputStream inputStream, String expectedFormat) throws Exception {
byte[] magic = FORMAT_MAGIC.get(expectedFormat);
if (magic == null) {
return false;
}
byte[] buffer = new byte[magic.length];
int readLen = inputStream.read(buffer);
if (readLen != magic.length) {
return false;
}
for (int i = 0; i < magic.length; i++) {
if (buffer[i] != magic[i]) {
return false;
}
}
return true;
}
}
2. 内容边界校验
限制二进制流的大小，避免异常大的Blob数据占用过多数据库存储资源，同时扫描二进制流中是否包含SQL关键字的特征片段，比如SELECT、UNION、OR 1=1等常见注入特征，若发现则直接拒绝写入：
def check_blob_content(blob_data, max_size=10*1024*1024):
# 校验大小，默认最大10MB
if len(blob_data) > max_size:
return False, "Blob数据超过最大允许大小"
# 常见SQL注入关键字特征
inject_keywords = [b"SELECT", b"UNION", b"OR 1=1", b"DROP TABLE", b"INSERT INTO"]
for keyword in inject_keywords:
if keyword in blob_data.upper():
return False, "二进制流包含可疑SQL注入内容"
return True, "校验通过"
3. 参数化SQL传递
无论写入还是查询Blob字段，都必须使用预编译语句（PreparedStatement），禁止将二进制流直接拼接到SQL字符串中，从根源上避免注入风险。以下是Java中使用预编译语句写入Blob的示例：
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.io.FileInputStream;
public class BlobInsertDemo {
public static void insertBlob(Connection conn, int fileId, String filePath) throws Exception {
// 使用预编译语句，?作为占位符，避免SQL拼接
String sql = "INSERT INTO file_table (id, file_content) VALUES (?, ?)";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setInt(1, fileId);
// 直接将输入流设置到Blob占位符，数据库驱动会自动处理二进制内容
FileInputStream fis = new FileInputStream(filePath);
ps.setBinaryStream(2, fis, fis.available());
ps.executeUpdate();
ps.close();
fis.close();
}
}
完整的防御方案总结
针对Blob类型的SQL注入防御，需要组合多种手段形成完整的安全闭环：
| 防御环节 | 具体措施 |
|---|---|
| 输入阶段 | 校验二进制流魔术数字，限制文件大小，扫描注入特征关键字 |
| 存储阶段 | 使用预编译SQL语句写入Blob字段，禁止字符串拼接SQL |
| 查询阶段 | 查询Blob字段时同样使用预编译语句，对传入的二进制参数做二次校验 |
| 权限控制 | 数据库账号遵循最小权限原则，避免Blob操作账号拥有删表、改表等高危权限 |
通过以上措施，可以有效防御针对Blob类型字段的SQL注入攻击，同时保证二进制流数据的合法性，提升整体应用的安全性。