PostgreSQL作为常用的开源关系型数据库，在各类业务系统中应用广泛，但其使用过程中如果缺乏安全管控，很容易出现目录遍历、SQL注入等安全问题，同时COPY命令的权限如果设置不当，也会带来数据泄露风险，需要针对性做好防护。
PostgreSQL中目录遍历的风险与防护
目录遍历漏洞通常出现在数据库允许读取或写入服务器本地文件时，攻击者通过构造特殊的路径参数，访问到预期之外的系统文件。在PostgreSQL中，除了COPY命令可能引发该问题，部分扩展函数的不当使用也会带来类似风险。
目录遍历的产生场景
当应用层直接将用户输入的内容作为文件路径传递给PostgreSQL的文件操作相关逻辑时，就可能触发目录遍历。比如用户输入../../etc/passwd这类路径，如果没有做过滤，就可能读取到系统敏感文件。
防护措施
- 对用户输入的文件路径做严格校验，只允许使用预定义目录下的文件，禁止路径中出现
..、/等跳转或绝对路径字符 - 数据库层面限制文件操作的目录范围，通过配置
data_directory之外的目录访问权限，避免数据库进程可以随意读取系统其他路径 - 避免在应用层直接将用户输入拼接为文件操作参数，所有文件路径由后端统一生成和管理
PostgreSQL中SQL注入的风险与防护
SQL注入是数据库最常见的安全问题，攻击者通过在输入参数中插入恶意SQL片段，篡改原有SQL逻辑，实现越权查询、数据篡改甚至删除数据库的操作。
SQL注入的产生场景
当应用层直接将用户输入拼接到SQL语句中执行时，就会出现注入风险。比如以下Java代码片段就存在明显问题：
// 存在SQL注入风险的代码
String userId = request.getParameter("userId");
String sql = "SELECT * FROM user_info WHERE id = " + userId;
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);
如果用户输入1 OR 1=1，最终执行的SQL会变成SELECT * FROM user_info WHERE id = 1 OR 1=1，从而查询到所有用户数据。
防护措施
- 使用参数化查询，避免直接拼接SQL字符串，不同语言的参数化查询实现方式不同，以下是Python的示例：
import psycopg2
# 安全的参数化查询示例
user_id = input("请输入用户ID：")
conn = psycopg2.connect(database="test", user="postgres", password="123456", host="127.0.0.1", port="5432")
cursor = conn.cursor()
# 使用%s作为占位符，参数通过元组传递，避免注入
cursor.execute("SELECT * FROM user_info WHERE id = %s", (user_id,))
result = cursor.fetchall()
conn.close()
- 对用户输入做严格的类型校验，比如数值型参数只允许输入数字，字符串参数过滤掉单引号、分号等SQL特殊字符
- 遵循最小权限原则，给应用连接数据库使用的账号只分配必要的查询、插入等权限，禁止授予超级用户权限
严格限制COPY命令权限的方法
PostgreSQL的COPY命令可以用于在表和文件之间批量导入导出数据，该命令默认只有超级用户和表的拥有者可以执行，但如果权限分配不当，也会被攻击者利用来读取或写入服务器文件，引发目录遍历等问题。
COPY命令的权限管控原则
- 禁止给普通业务账号授予COPY相关的超级用户权限，除非业务必须且做好全流程安全管控
- 如果业务需要用到COPY命令导入导出数据，可以创建专门的只读或只写角色，仅授予该角色对应表的SELECT或INSERT权限，同时限制其只能操作指定目录下的文件
- 通过
pg_hba.conf配置客户端连接权限，避免不可信的客户端地址连接到数据库执行COPY命令
替代COPY命令的安全方案
如果业务只需要导入导出数据，不需要直接操作服务器文件，可以使用应用层中转的方式，避免直接使用COPY命令操作服务器本地文件：
import psycopg2
import csv
# 从数据库导出数据到内存，再写入到应用可控制的文件，避免COPY直接操作服务器文件
conn = psycopg2.connect(database="test", user="postgres", password="123456", host="127.0.0.1", port="5432")
cursor = conn.cursor()
cursor.execute("SELECT id, username, email FROM user_info")
rows = cursor.fetchall()
# 写入到应用指定目录的文件，路径由后端控制，避免用户输入
with open("/app/export/user_data.csv", "w", newline="", encoding="utf-8") as f:
writer = csv.writer(f)
writer.writerow(["id", "username", "email"])
writer.writerows(rows)
conn.close()
综合安全实践建议
除了上述针对性的防护措施，还需要做好整体的数据库安全运维：定期更新PostgreSQL到稳定版本，修复已知安全漏洞；开启数据库审计日志，记录所有COPY命令和敏感SQL的执行情况；对数据库服务器的文件系统权限做限制，确保数据库进程只能访问必要的目录。通过多层防护，才能最大程度降低PostgreSQL的安全风险。
PostgreSQL目录遍历SQL注入COPY命令权限修改时间：2026-07-20 03:57:25