变种SQL注入通过注释分割、编码替换、等价函数变换等方式扭曲语句形态，使基于签名匹配的安全设备难以覆盖。将SQL语句解析为抽象语法树之后，攻击者的语法结构异常会表现为节点分布偏离正常查询模式，这为机器学习检测提供了稳定特征。本节先建立整体认知，再逐步展开实现细节。
为什么语法树比原始字符串更适合做注入检测
规则引擎通常依赖黑名单关键字如union、select或者正则片段去匹配请求参数。变种攻击只需用/*!union*/或内联注释就能绕过这类检测，因为字符序列变了但语法意图没变。抽象语法树把语句转换成结构化的节点关系，无论攻击者怎么插入无意义注释或改变空白，只要最终解析出的查询结构异常，就能被识别。
举例来说，正常查询的语法树根节点往往是SELECT，子节点包括投影列、数据源表与可选过滤条件。而堆叠注入会生成多个顶层语句节点，布尔盲注会在WHERE下挂接奇怪的比较表达式。把这些结构差异转化为数值特征，模型学习的就是语法语义规律，而不是表层文本。
从工程角度看，语法树方案需要引入SQL解析器，例如Python的sqlparse或数据库内核提供的解析接口。虽然增加了预处理成本，但误报率显著下降。我们在后续小节会给出具体特征设计与训练流程。
从SQL语句提取语法树并构造特征向量
第一步是把待检测字符串交给解析器生成树状结构。下面示例使用sqlparse做格式化与分词，再基于简单递归统计节点类型频率。真实生产环境可对接MySQL解析器获得更严谨的AST。
import sqlparse
from collections import Counter
def extract_tree_features(sql_text):
parsed = sqlparse.parse(sql_text)
type_counter = Counter()
depth_list = []
def walk(token, depth):
type_counter[token.ttype] += 1
for child in token.tokens:
if hasattr(child, 'tokens') and child.tokens:
depth_list.append(depth + 1)
walk(child, depth + 1)
else:
type_counter[child.ttype] += 1
for stmt in parsed:
walk(stmt, 0)
max_depth = max(depth_list) if depth_list else 0
feature = {
'keyword_count': type_counter.get(sqlparse.tokens.Keyword, 0),
'name_count': type_counter.get(sqlparse.tokens.Name, 0),
'operator_count': type_counter.get(sqlparse.tokens.Operator, 0),
'max_depth': max_depth,
'node_total': sum(type_counter.values())
}
return feature
normal_sql = "SELECT id FROM user WHERE age > 18"
attack_sql = "SELECT id FROM user WHERE id=1 UNION SELECT password FROM admin-- "
print(extract_tree_features(normal_sql))
print(extract_tree_features(attack_sql))
上面的代码把语句转成词法树并统计关键字、名称、运算符的出现次数以及最大嵌套深度。变种注入常常带来异常的UNION关键字突增或注释导致深度变化。我们用这些标量组成一个固定长度向量，方便分类器消费。
为了提升区分度，还可以加入二元语法特征，比如相邻节点类型组合频率，或者统计SELECT子树下是否直接挂了另一个SELECT。这类结构特征对堆叠查询尤其敏感。特征工程的核心原则是保留语法关系、丢弃可混淆的文本表象。
训练机器学习模型识别异常语法树
拿到特征向量后，可用梯度提升树或随机森林做二分类。下面示例用scikit-learn训练一个基础模型，并输出交叉验证分数。数据集应混合正常业务语句与多种变种注入样本。
from sklearn.ensemble import GradientBoostingClassifier
from sklearn.model_selection import cross_val_score
import numpy as np
# 假设 features 是列表，每个元素是 extract_tree_features 返回的字典
# labels 中 0 表示正常，1 表示攻击
def build_matrix(features):
keys = ['keyword_count', 'name_count', 'operator_count', 'max_depth', 'node_total']
X = np.array([[f[k] for k in keys] for f in features])
return X
X = build_matrix(features)
y = np.array(labels)
clf = GradientBoostingClassifier(n_estimators=120, max_depth=4)
scores = cross_val_score(clf, X, y, cv=5)
print('准确率均值:', scores.mean())
clf.fit(X, y)
模型训练完成后，线上服务对每条用户输入拼接出的SQL抽取特征并预测。相比正则规则，机器学习模型对未见过的变种有更好泛化，因为它学到的是异常结构模式。例如训练集中没有某种特定编码注入，但解析树呈现类似的双顶层语句，模型仍可能报警。
需要注意类别不平衡问题。正常流量远大于攻击样本，应采用加权损失或欠采样。同时定期用新捕获的变种样本增量训练，防止概念漂移。把模型得分与规则引擎并行部署，既能借语法树降误报，又能用规则保召回，形成互补防御。
方案对比与落地注意事项
我们把三类检测方式放在一张表里比较，帮助团队选型。语法树加机器学习的组合在维护成本和抗绕过能力上优势明显，但依赖解析器稳定性。
| 检测方式 | 抗变种能力 | 误报率 | 维护成本 |
|---|---|---|---|
| 正则黑名单 | 低 | 高 | 低 |
| 语法树规则 | 中 | 中 | 中 |
| 语法树加机器学习 | 高 | 低 | 较高 |
落地时要考虑解析器对畸形输入的容错。攻击者可能发送无法解析的垃圾串，此时应降级到长度与字符分布检测，而不是直接放行。另外语法树特征要随业务SQL方言调整，比如分库分表下的特定函数节点。
整体来看，用机器学习识别异常语法树是把安全对抗从字符串层面提升到结构层面。只要特征设计紧扣节点关系，并配合持续训练，就能在变种SQL注入防御中取得稳健效果。