存储过程是数据库中一组预编译的SQL语句集合，常被用于封装业务逻辑、提升执行效率，不少开发者默认使用存储过程就能杜绝SQL注入问题，但实际情况并非如此，当存储过程内部存在动态语句拼接操作时，注入风险依然会存在。
存储过程存在SQL注入的原因
SQL注入的核心成因是用户输入的内容被当作SQL代码的一部分执行，存储过程本身只是代码的存储形式，并不会自动过滤输入内容。如果存储过程中通过字符串拼接的方式构造动态SQL，再将用户输入直接拼接到SQL语句里，攻击者就可以通过构造特殊输入改变SQL的执行逻辑，触发注入漏洞。
常见的错误拼接场景示例
以MySQL的存储过程为例，下面是一段存在注入风险的代码：
-- 存在注入风险的存储过程示例
DELIMITER //
CREATE PROCEDURE get_user_info(IN user_name VARCHAR(50))
BEGIN
-- 直接拼接用户输入构造动态SQL
SET @sql = CONCAT('SELECT id, name, age FROM user WHERE name = ''', user_name, '''');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
END //
DELIMITER ;
如果攻击者传入的user_name参数为' OR '1'='1，拼接后的SQL会变成SELECT id, name, age FROM user WHERE name = '' OR '1'='1'，此时会查询出所有用户数据，造成数据泄露。
避免存储过程中动态语句拼接的方案
1. 优先使用参数化查询
参数化查询会让用户输入的内容被当作参数值处理，不会被解析为SQL代码的一部分，是避免注入的最优方案。修改上面的存储过程，使用参数化方式构造动态SQL：
-- 使用参数化查询的安全存储过程示例
DELIMITER //
CREATE PROCEDURE get_user_info_safe(IN user_name VARCHAR(50))
BEGIN
-- 动态SQL中使用参数占位符
SET @sql = 'SELECT id, name, age FROM user WHERE name = ?';
SET @name_param = user_name;
PREPARE stmt FROM @sql;
EXECUTE stmt USING @name_param;
DEALLOCATE PREPARE stmt;
END //
DELIMITER ;
这里用?作为占位符，用户输入的内容通过USING子句传入，不会被拼接到SQL语句中，从根源上避免了注入风险。
2. 严格校验输入内容
如果必须使用动态拼接的场景，需要对用户输入做严格的校验，比如限定输入的长度、只允许特定的字符集、过滤掉单引号等特殊字符。例如如果user_name只允许字母和数字，可以添加校验逻辑：
-- 添加输入校验的存储过程示例
DELIMITER //
CREATE PROCEDURE get_user_info_check(IN user_name VARCHAR(50))
BEGIN
-- 校验输入是否只包含字母和数字
IF user_name REGEXP '^[a-zA-Z0-9]+$' THEN
SET @sql = CONCAT('SELECT id, name, age FROM user WHERE name = ''', user_name, '''');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
ELSE
SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '输入内容不合法';
END IF;
END //
DELIMITER ;
3. 避免不必要的动态SQL
很多场景下存储过程不需要使用动态SQL，尽量使用静态SQL语句，静态SQL在编译时就会确定执行逻辑，用户输入无法改变其结构，天然具备防注入能力。比如上面的查询用户场景，如果不需要动态表名、动态字段名，完全可以写成静态存储过程：
-- 静态SQL存储过程示例
DELIMITER //
CREATE PROCEDURE get_user_info_static(IN user_name VARCHAR(50))
BEGIN
SELECT id, name, age FROM user WHERE name = user_name;
END //
DELIMITER ;
总结
存储过程不是SQL注入的防护盾，只有在编写时避免动态语句拼接、正确使用参数化查询、严格校验输入内容，才能真正保障存储过程的安全性。开发过程中需要根据实际场景选择合适的实现方式，优先使用静态SQL和参数化查询，降低注入风险。