SQL注入是Web安全领域最经典也最持久的攻击手法之一，OWASP长期将其列为高风险漏洞类别。传统的防御方式主要依赖WAF的规则匹配和关键词黑名单，例如检测union select、or 1=1等特征串。然而攻击者可以通过大小写混淆、注释插入、编码变形等手段轻松绕过静态规则，导致规则库需要不断人工更新，维护成本高且始终慢攻击一步。深度学习技术的引入改变了这一被动局面：模型通过对大量正常请求和注入样本的学习，能够捕捉语句的语义和结构特征，即使payload经过变形，只要其内在的攻击意图没有改变，仍然可以被准确识别。本文将完整讲解如何构建一个基于深度学习的SQL注入特征向量分类器。
一、SQL注入检测为什么适合用深度学习解决
从本质上看，SQL注入检测是一个二分类问题：给定一段HTTP请求参数，判断它是正常输入还是恶意payload。这与垃圾邮件识别、情感分析等经典NLP任务高度相似，因此自然语言处理的成熟方法可以直接迁移过来。
规则方法的根本缺陷在于特征工程依赖专家经验。安全工程师总结出的正则表达式只能覆盖已知攻击模式，对于SEL/**/ECT这种内联注释绕过、%55%45%4C这类URL编码变形，以及利用char()函数动态拼接的payload，静态规则往往束手无策。而深度学习模型不需要人工定义特征，它把payload当作字符或词的序列，通过Embedding层学习每个token的分布式表示，再由RNN或CNN捕捉序列中的上下文关系，最终形成对整段输入的分类判断。
更关键的是泛化能力。一个训练良好的模型理解的是注入语句的结构规律，例如大量的引号闭合、逻辑运算符堆叠、系统函数调用等统计特征，而不是某个具体的关键词。即使攻击者构造出全新的注入语句，只要其结构符合注入模式，模型依然有较大概率检出。当然，深度学习也不是万能的，它面临样本不均衡、误报控制、可解释性差等挑战，这些在后文的工程实践中会逐一讨论。
二、数据准备与特征向量化
训练数据是深度学习模型的基石。SQL注入样本可以从公开数据集获取，例如GitHub上流传较广的SQL注入payload集合，也可以从自有WAF日志中提取历史攻击记录。正常样本则从业务系统的真实访问日志中采样。一般来说，正负样本比例控制在1:1到1:3之间效果较好，严重不均衡会导致模型偏向多数类。
拿到原始数据后，第一步是清洗与归一化：统一小写、URL解码、去除无意义的空白符，但注意不要破坏引号和注释符这些关键结构。第二步是分词。与传统英文分词不同，SQL payload没有天然的词边界，推荐采用字符级切分或者基于安全语义的自定义分词器。自定义分词器可以把select、union、--、'、and等视为独立token，其余字符按单字符切分，这样既保留了高频攻击关键词的语义，又兼顾了对未知字符的覆盖能力。
分词之后需要将token序列转换为定长的特征向量。Keras提供的Tokenizer可以建立词到索引的映射，再用pad_sequences把序列填充或截断到统一长度。下面是完整的预处理代码示例：
import pandas as pd
import re
from sklearn.model_selection import train_test_split
from tensorflow.keras.preprocessing.text import Tokenizer
from tensorflow.keras.preprocessing.sequence import pad_sequences
# 自定义分词函数：安全关键词作为整体token，其余按单字符切分
KEYWORDS = ['select', 'union', 'insert', 'update', 'delete', 'drop',
'and', 'or', 'order by', 'group by', 'exec', 'concat',
'sleep', 'benchmark', 'information_schema']
def tokenize(text):
text = text.lower()
for kw in KEYWORDS:
text = text.replace(kw, ' ' + kw + ' ')
# 按空白切分，单个符号保留为独立token
return text.split()
df = pd.read_csv('sqli_dataset.csv') # 包含 sentence 和 label 两列
df['tokens'] = df['sentence'].apply(tokenize)
# 构建词表并转换为索引序列
tokenizer = Tokenizer(num_words=5000, oov_token='<UNK>')
tokenizer.fit_on_texts(df['tokens'])
sequences = tokenizer.texts_to_sequences(df['tokens'])
# 填充到固定长度100
X = pad_sequences(sequences, maxlen=100, padding='post', truncating='post')
y = df['label'].values
X_train, X_test, y_train, y_test = train_test_split(
X, y, test_size=0.2, random_state=42, stratify=y)
print('训练样本数:', len(X_train), '测试样本数:', len(X_test))
这段代码的核心思路是让高频攻击关键词在词表中占据独立位置，使Embedding层能够学习到这些token的专门表示。maxlen设置为100是因为绝大多数payload长度集中在几十个字符以内，过长的截断几乎不损失信息，同时能显著降低计算量。
三、构建并训练SQL特征向量分类器模型
文本分类领域有三种主流模型结构可选：LSTM擅长捕捉长距离依赖，适合逻辑链条较长的盲注payload；CNN通过多尺寸卷积核提取局部n-gram特征，训练速度快；双向LSTM加上注意力机制则在准确率和可解释性之间取得平衡。对于SQL注入这种以局部特征组合为主的任务，一个CNN与LSTM的混合结构通常表现优异。
模型的输入首先经过Embedding层，将每个token映射为64维的稠密向量，这一步就是特征向量化的核心。随后用一维卷积提取局部的token组合模式，比如引号加or的搭配，再交给LSTM理解整体序列，最后通过全连接层输出二分类概率。完整模型定义和训练代码如下：
from tensorflow.keras.models import Sequential
from tensorflow.keras.layers import Embedding, Conv1D, MaxPooling1D
from tensorflow.keras.layers import LSTM, Dense, Dropout, Bidirectional
from tensorflow.keras.callbacks import EarlyStopping, ModelCheckpoint
model = Sequential([
# 词嵌入层：5000词表，每个token映射为64维向量
Embedding(input_dim=5000, output_dim=64, input_length=100),
# 卷积层提取局部n-gram特征
Conv1D(filters=128, kernel_size=3, activation='relu', padding='same'),
MaxPooling1D(pool_size=2),
# 双向LSTM理解序列上下文
Bidirectional(LSTM(64, return_sequences=False)),
Dropout(0.3),
Dense(64, activation='relu'),
Dropout(0.3),
# 二分类输出：1为SQL注入，0为正常请求
Dense(1, activation='sigmoid')
])
model.compile(optimizer='adam',
loss='binary_crossentropy',
metrics=['accuracy', 'Precision', 'Recall'])
model.summary()
callbacks = [
EarlyStopping(monitor='val_loss', patience=3, restore_best_weights=True),
ModelCheckpoint('sqli_detector.h5', save_best_only=True)
]
history = model.fit(X_train, y_train,
validation_split=0.1,
epochs=20,
batch_size=64,
callbacks=callbacks)
训练时要注意监控Precision和Recall两个指标而不能只看Accuracy。在安全场景下，漏报意味着攻击穿透，误报意味着正常用户被拦截，两者的代价需要根据业务权衡。如果更怕漏报，可以在预测时把判定阈值从默认的0.5下调到0.3左右，提高召回率；对误报敏感的业务则适当上调阈值。
四、模型评估、部署与工程优化建议
评估阶段除了整体准确率，重点看混淆矩阵。用sklearn.metrics.classification_report输出精确率、召回率和F1值，并单独分析被误判的样本：如果误报集中在含特殊字符的正常业务输入上，说明正常样本的多样性不足，需要补充更多业务日志；如果漏报集中在某种新型绕过手法上，应该针对性地采集该类样本加入训练集，形成数据驱动的持续迭代闭环。
部署环节有两种典型方案。第一种是离线推理：将模型导出，用Flask封装成HTTP服务，WAF或网关把可疑参数发过来异步判定，优点是架构简单，缺点是增加请求延迟。第二种是用TF Serving或ONNX Runtime做高性能推理，配合消息队列对流量做旁路分析，适合大流量场景。下面的示例演示了如何用训练好的模型对新payload做实时预测：
import numpy as np
def predict_sqli(text, model, tokenizer, maxlen=100, threshold=0.4):
tokens = tokenize(text)
seq = tokenizer.texts_to_sequences([tokens])
padded = pad_sequences(seq, maxlen=maxlen, padding='post', truncating='post')
prob = model.predict(padded, verbose=0)[0][0]
label = '恶意注入' if prob >= threshold else '正常请求'
return label, float(prob)
# 测试几个典型的变形payload
tests = [
"1' or '1'='1",
"1 UNION SELECT username, password FROM users--",
"admin'/**/AND/**/(SELECT/**/1/**/FROM/**/pg_sleep(5))--",
"张三的个人主页"
]
for t in tests:
label, prob = predict_sqli(t, model, tokenizer)
print(f'{t[:40]:40s} => {label} (置信度: {prob:.4f})')
最后强调几个实践要点：其一，深度学习模型应与规则引擎配合使用，规则处理明确的高危特征，模型负责捕获变形攻击，双引擎叠加可以同时压低漏报和误报；其二，模型上线后要建立反馈机制，把人工审核的结果回流到训练集，定期重训练防止攻击手法漂移；其三，注意对抗样本风险，攻击者可能针对模型构造专门绕过，可以通过对抗训练和输入扰动增强来提升模型鲁棒性。只要坚持数据迭代与架构优化并重，基于深度学习的SQL注入检测系统完全可以在真实生产环境中达到实用水平。