2026-04-10 16:52:07 +08:00
|
|
|
|
Ë
|
2026-04-14 10:28:22 +08:00
|
|
|
|
4yÜiï2 ã
|
|
|
|
|
|
ór — d Z ddlZddlZddlmZmZmZ ej e« Z ej d« Z de dee
|
|
|
|
|
|
ee f fd„Zg d¢Zg d ¢Zde dee
|
2026-04-10 16:52:07 +08:00
|
|
|
|
ee f fd
|
2026-04-14 10:28:22 +08:00
|
|
|
|
„Zde dee
|
|
|
|
|
|
e f fd „Zde dee fd „Zdde d
|
|
|
|
|
|
e dee
|
|
|
|
|
|
ee f fd„Zdde d
|
|
|
|
|
|
e dee fd„Z dde d
|
|
|
|
|
|
e dee fd„Z dde d
|
|
|
|
|
|
e de
|
|
|
|
|
|
defd„Zy)u
|
|
|
|
|
|
SQL 验�工具集
|
2026-04-10 16:52:07 +08:00
|
|
|
|
é N)ÚTupleÚListÚDictzC[\u3000-\u303f\u3400-\u4dbf\u4e00-\u9fff\uf900-\ufaff\uff00-\uffef]ÚsqlÚreturnc óè ‡ ‡ — g }d}t ‰ « Š d}d}dt dt t t f fˆ ˆ fd„ }|‰ k �r(|r‰ | dk( rd}|dz
|
|
|
|
|
|
}Œ|r!|dz ‰ k r‰ ||dz d k( rd}|dz
|
|
|
|
|
|
}n|dz
|
|
|
|
|
|
}Œ;‰ ||dz }|d
|
2026-04-14 10:28:22 +08:00
|
|
|
|
k( rd }|dz
|
2026-04-10 16:52:07 +08:00
|
|
|
|
}ŒP|d k( rd }|dz
|
|
|
|
|
|
}Œ]|dz ‰ k rc‰ | d
|
|
|
|
|
|
v r\‰ |dz dk( rQ ||dz « \ }}t j |« r-|dd t |« dkD rdndz }|j
|
|
|
|
|
|
d|› d�« ŒÈ‰ | dk( rR ||dz « \ }}t j |« r-|dd t |« dkD rdndz }|j
|
|
|
|
|
|
d|› d�« �Œ"|dz
|
|
|
|
|
|
}|‰ k r�Œ(t |« dk( |fS )u¾
|
|
|
|
|
|
扫æ�� SQL ä¸å�•å¼•å�·å—符串（å�« T-SQL N'…'），若å—é�¢é‡�内出现 CJK 则判失败。
|
2026-04-14 10:28:22 +08:00
|
|
|
|
|
2026-04-10 16:52:07 +08:00
|
|
|
|
跳过 ``--`` 行注释与 ``/* */`` �注释内的文本，��误报。
|
|
|
|
|
|
r FÚstartr c ó •— | }g }|‰k rf‰| }|dk( r@|dz ‰k r"‰|dz dk( r|j d« |dz
|
|
|
|
|
|
}Œ9dj |« |dz fS |j |« |dz
|
|
|
|
|
|
}|‰k rŒfdj |« |fS )u[ 从 start 指å�‘çš„ opening `'` 之å�Žå¼€å§‹è¯»ï¼Œè¿”回 (内容, é—å�ˆå¼•å�·å�Žä¸‹æ ‡)。Ú'é é Ú )ÚappendÚjoin)r ÚjÚpartsÚchÚnr s €€úbackend\utils\validators.pyÚ_read_single_quoted_stringzGcheck_no_cjk_in_sql_string_literals.<locals>._read_single_quoted_string s ø€ à ˆØ ˆØ�!ŠeØ�Q‘ˆBØ�SŠyØ�q‘5˜1’9 Q¨¡U¡¨sÒ!2Ø—L‘L Ô%ؘ‘F�AØ Ø—w‘w˜u“~ q¨1¡uÐ,Ð,Ø �L‰L˜Ô Ø
|
2026-04-14 10:28:22 +08:00
|
|
|
|
�‰FˆAð �!‹eð �w‰w�u‹~˜qÐ Ð ó Ú
|
|
|
|
|
|
r r
|
2026-04-10 16:52:07 +08:00
|
|
|
|
z*/z--Tz/*ÚNnr Né0 u …r uj SQL å—符串å—é�¢é‡�ä¸å�«ä¸æ–‡æˆ–与业务ä¸æ–‡ç›´æŽ¥ä½œä¸ºæ¯”对值（ç¦�æ¢ï¼‰ã€‚片段近似: …'u] '… — 请改用 Schema 注释ä¸çš„代ç �/枚举，或通过维表 JOIN 用键列过滤。)ÚlenÚintr ÚstrÚ_CJK_IN_STRING_REÚsearchr )
|
|
|
|
|
|
r ÚerrorsÚiÚin_line_commentÚin_block_commentr ÚtwoÚbodyÚprevr s
|
|
|
|
|
|
` @r Ú#check_no_cjk_in_sql_string_literalsr' s ù€ ð €FØ €AÜ ˆC‹€AØ€OØ Ðð!¬#ð !´%¼¼S¸±/ö !ð ˆa‹%Ù Ø�1‰v˜Š~Ø"'�Ø
|
|
|
|
|
|
�‰FˆAØ Ù Ø�1‰u�qŠy˜S Q¨¡U˜^¨tÒ 3Ø#(Ð Ø�Q‘‘à�Q‘�Ø à�!�a˜!‘eˆnˆØ �$Š;Ø "ˆOØ
|
|
|
|
|
|
�‰FˆAØ Ø �$Š;Ø #Ð Ø
|
|
|
|
|
|
�‰FˆAØ ð
|
|
|
|
|
|
ˆq‰5�1Š9˜˜Q™ 4™ ¨C°°A±©J¸#Ò,=Ù0°°Q±Ó7‰GˆD�!Ü ×'Ñ'¨Ô-ؘC˜R�y¬S°«Y¸ª^¡EÀÑD�Ø—
|
2026-04-14 10:28:22 +08:00
|
|
|
|
‘
|
|
|
|
|
|
ð)Ø)-¨ð /LðMôð
|
2026-04-10 16:52:07 +08:00
|
|
|
|
à ˆq‰6�SŠ=Ù0°°Q±Ó7‰GˆD�!Ü ×'Ñ'¨Ô-ؘC˜R�y¬S°«Y¸ª^¡EÀÑD�Ø—
|
|
|
|
|
|
‘
|
|
|
|
|
|
ð)Ø)-¨ð /LðMôñ
|
|
|
|
|
|
à ˆQ‰ˆð[ ˆaŒ%ô^ ˆv‹;˜!Ñ ˜VÐ #Ð#r )ÚDROPÚDELETEÚUPDATEÚINSERTÚALTERÚTRUNCATEÚCREATEz
|
|
|
|
|
|
DROP DATABASEz
|
|
|
|
|
|
DROP TABLEz
|
|
|
|
|
|
DROP INDEXÚGRANTÚREVOKEÚPURGEÚFLUSHÚKILL)5ÚSELECTÚWITHÚFROMÚWHEREÚJOINz LEFT JOINz
|
|
|
|
|
|
RIGHT JOINz
|
|
|
|
|
|
INNER JOINz
|
|
|
|
|
|
OUTER JOINÚONÚUSINGzGROUP BYÚHAVINGzORDER BYÚLIMITÚOFFSETÚUNIONz UNION ALLÚEXCEPTÚ INTERSECTÚASÚCASEÚWHENÚTHENÚELSEÚENDÚCOUNTÚSUMÚAVGÚMINÚMAXÚDISTINCTÚANDÚORÚNOTÚINÚEXISTSÚBETWEENÚLIKEzIS NULLz IS NOT NULLÚCASTÚCOALESCEÚNULLIFÚIFNULLÚDATEÚTIMEÚ TIMESTAMPÚEXTRACTÚ DATE_FORMATÚ STR_TO_DATEÚ CURRENT_DATEÚCURRENT_TIMESTAMPc ó — | j « }g }t D ]E }dt j |« z dz }t j ||« sŒ5|j |« ŒG t
|
|
|
|
|
|
|« dk( }|st j d|› �« ||fS )u¡
|
|
|
|
|
|
检查SQL是�包��险�作
|
|
|
|
|
|
|
|
|
|
|
|
Args:
|
|
|
|
|
|
sql: SQLè¯å�¥ï¼ˆå¤§å°�写ä¸�æ•�感）
|
|
|
|
|
|
|
|
|
|
|
|
Returns:
|
|
|
|
|
|
(是�安全, �险关键�列表)
|
|
|
|
|
|
z\br u 检测到å�±é™©æ“�作: ) ÚupperÚDANGEROUS_KEYWORDSÚreÚescaper r r ÚloggerÚwarning)r Ú sql_upperÚ
|
|
|
|
|
|
found_dangersÚkeywordÚpatternÚis_safes r Úcheck_dangerous_operationsrl t s… € ð — ‘ “ €IØ€Mç%ˆàœ"Ÿ)™) GÓ,Ñ,¨uÑ4ˆÜ
|
|
|
|
|
|
�9‰9�W˜iÕ (Ø × Ñ Õ )ð &ô �-Ó AÑ%€Gá Ü�‰Ð0° °Ð@ÔAà �MÐ !Ð!r c óì — | j « j « }|j « r|j « d nd}|dv rdd|› �fS t | « \ }}|sdddj |« › �fS y) uw
|
|
|
|
|
|
验è¯�SQLä¸�是DML/DDLæ“�作（仅å…�许SELECTç‰æŸ¥è¯¢ï¼‰
|
|
|
|
|
|
|
|
|
|
|
|
Returns:
|
|
|
|
|
|
(是�通过, 错误消�)
|
|
|
|
|
|
r r )r+ r* r) r( r, r. r- Fu ç¦�æ¢çš„æ“�作: u SQL包å�«å�±é™©æ“�作: ú, )Tr )Ústripra Úsplitrl r )r rg Ú
|
2026-04-14 10:28:22 +08:00
|
|
|
|
first_wordrk Údangerss r Úvalidate_no_dmlrs � s„ € ð — ‘ “ ×!Ñ!Ó#€Ið *3¯ © Ô):�— ‘ Ó" 1Ò%À€JØÐZÑZØÐ)¨*¨ Ð6Ð6Ð6ä1°#Ó6Ñ€GˆWÙ ØÐ/°· ± ¸'Ó0BÐ/CÐDÐDÐDà r c óÚ — dddddddœ}g }| j « }|j « D ]< \ }}t j || t j « sŒ,|j |« Œ> |S )u|
|
|
|
|
|
|
检查明显的SQL注入模�
|
2026-04-10 16:52:07 +08:00
|
|
|
|
|
|
|
|
|
|
Args:
|
|
|
|
|
|
sql: SQLè¯å�¥
|
|
|
|
|
|
|
|
|
|
|
|
Returns:
|
|
|
|
|
|
�现的注入模�列表
|
|
|
|
|
|
zUNION\s+ALL\s+SELECTzUNION\s+SELECTz(--|\#|/\*).*SELECTz ;\s*(DROP|DELETE|UPDATE|INSERT)z OR\s+['\"]?\s*1\s*['\"]?\s*=\s*1z 1\s*=\s*1)Úunion_all_injectionÚunion_injectionÚcomment_injectionÚsemicolon_injectionÚor_true_conditionÚ always_true)ÚlowerÚitemsrc r Ú
|
|
|
|
|
|
IGNORECASEr )r ÚpatternsÚfindingsÚ sql_lowerÚnamerj s r Ú check_sql_injection_patternsr‚ ¤ sk € ð 7Ø,Ø 3Ø AØ @Ø#ñ
|
|
|
|
|
|
€Hð €HØ— ‘ “ €Ià!Ÿ ™ Ö)‰
|
|
|
|
|
|
ˆˆgÜ
|
|
|
|
|
|
�9‰9�W˜c¤2§=¡=Õ 1Ø �O‰O˜DÕ !ð *ð €Or Údialectc ó° ‡— ddl m}mŠ g } || |¬« }t |‰j « sdg fS |j
|
|
|
|
|
|
}|j j d« }|s7t ˆfd„|D « « }|r|j d« t |« dk( |fS |j
|
|
|
|
|
|
}t « } |D ]‰ }
|
|
|
|
|
|
t |
|
|
|
|
|
|
‰j « r | j |
|
2026-04-14 10:28:22 +08:00
|
|
|
|
j « Œ5t |
|
|
|
|
|
|
‰j « sŒL|
|
|
|
|
|
|
j } t | ‰j « sŒo| j | j « Œ‹ |D ]ß }
|
2026-04-10 16:52:07 +08:00
|
|
|
|
|
|
|
|
|
|
|
j# ‰j$ « rŒ t |
|
|
|
|
|
|
‰j& « rŒ6t |
|
|
|
|
|
|
‰j « r'|
|
|
|
|
|
|
j } | | vsŒ]|j d| › d �« Œst |
|
|
|
|
|
|
‰j( « sŒŠ|
|
|
|
|
|
|
j } t | ‰j « sŒ| j } | | vsŒ¾|j d| › d
|
|
|
|
|
|
|
|
|
|
|
|
|
j* › d �« Œá t |« dk( |fS # t, $ r"}
|
|
|
|
|
|
t. j1 d |
|
|
|
|
|
|
› �« Y d
|
|
|
|
|
|
}
|
|
|
|
|
|
~
|
|
|
|
|
|
Œ6d
|
2026-04-14 10:28:22 +08:00
|
|
|
|
}
|
2026-04-10 16:52:07 +08:00
|
|
|
|
~
|
|
|
|
|
|
ww xY w)uá
|
|
|
|
|
|
验è¯�è�šå�ˆæŸ¥è¯¢çš„GROUP BYæ£ç¡®æ€§
|
|
|
|
|
|
|
|
|
|
|
|
检查：SELECTä¸çš„é�žè�šå�ˆå—段是å�¦éƒ½åœ¨GROUP BYä¸
|
|
|
|
|
|
|
|
|
|
|
|
Args:
|
|
|
|
|
|
sql: SQLè¯å�¥
|
|
|
|
|
|
dialect: SQL方言
|
|
|
|
|
|
|
|
|
|
|
|
Returns:
|
|
|
|
|
|
(是�有效, 错误列表)
|
|
|
|
|
|
r ©Ú parse_oneÚexp©rƒ TÚgroupc 3 óX •K — | ]! }|j ‰j « d u–— Œ# y w)N)ÚfindÚAggFunc)Ú.0Úexprr‡ s €r Ú <genexpr>z/validate_aggregation_groupby.<locals>.<genexpr>à s+ øè ø€ ð á (�Dð — ‘ ˜#Ÿ+™+Ó&¨dÔ2Ù (ùs ƒ'*u) 包å�«è�šå�ˆå‡½æ•°ä½†ç¼ºå°‘GROUP BYå�å�¥u å—段 'u" ' 在SELECTä¸ä½†ä¸�在GROUP BYä¸u
|
2026-04-14 10:28:22 +08:00
|
|
|
|
' (别å��为'u# ') 在SELECTä¸ä½†ä¸�在GROUP BYä¸u GROUP BY验è¯�异常: N)Úutils.sql_parserr† r‡ Ú
|
|
|
|
|
|
isinstanceÚSelectÚ expressionsÚargsÚgetÚanyr r ÚsetÚColumnÚaddr� ÚOrderedÚthisr‹ rŒ ÚLiteralÚAliasÚaliasÚ Exceptionre Údebug)r rƒ r† r ÚparsedÚ select_exprsÚgroup_byÚhas_aggÚgroup_by_exprsÚ
|
|
|
|
|
|
group_by_colsrŽ r› Úcol_nameÚer‡ s @r Ú validate_aggregation_groupbyr© Á s ø€ ÷ 0à
|
|
|
|
|
|
€Fð?3Ù˜3¨Ô0ˆô ˜& #§*¡*Ô-ؘ�8ˆOð ×)Ñ)ˆ ð —;‘;—?‘? 7Ó+ˆÙäó á (óó ˆGñ Ø—
|
|
|
|
|
|
‘
|
2026-04-10 16:52:07 +08:00
|
|
|
|
Ð IÔJÜ�v“; !Ñ# VÐ+Ð +à!×-Ñ-ˆô ›ˆ
|
|
|
|
|
|
Û"ˆDܘ$ §
|
|
|
|
|
|
¡
|
2026-04-14 10:28:22 +08:00
|
|
|
|
Ô+Ø ×!Ñ! $§)¡)Õ,ܘD #§+¡+Õ.à—y‘y�Ü ˜d C§J¡JÕ/Ø!×%Ñ% d§i¡iÕ0ð #ó !ˆDà�y‰y˜Ÿ™Ô%Øô ˜$ § ¡ Ô,Øô ˜$ §
|
