最麻烦的是多态SQL注入，攻击者通过大小写混用、URL编码、注释绕过、空格替换、函数嵌套等方式逃避检测；防御核心是禁用拼接、强制参数化查询、白名单校验动态部分、语义化格式校验、警惕ORM陷阱、中间件解码标准化及日志脱敏。
SQL注入里最麻烦的其实是多态变形
多态SQL注入不是拼接了
就完事——攻击者会用大小写混用、URL编码、注释绕过、空格替换（比如用
、
）、函数嵌套（
）等方式让特征难以被正则或简单黑名单识别。靠“过滤关键词”基本无效，因为规则越写越长，漏网率反而升高。
实操建议：
永远不拼接用户输入到SQL语句中，哪怕你“已经转义过了”——
这类函数在宽字节、多字节编码场景下有绕过风险
优先使用参数化查询：
（Java）、
（PHP/PgSQL）、
（Python/psycopg2）
如果必须动态拼表名/列名（如分表路由、排序字段），只能白名单校验：
抛异常
避免用
、
、
模板拼SQL字符串——这些是多态注入的温床
格式化校验 ≠ 简单trim + isalnum
只做
看似干净，但对
字段，攻击者可传
（含空字符）、
（截断后续校验）、或超长十六进制编码绕过长度限制。格式校验必须和业务语义强绑定。
实操建议：
数字ID：用
强转并捕获
，而非正则匹配
——后者允许
甚至
等非整数形式
邮箱：用标准库解析（如Python的
），而不是
手机号：按国家码+位数双校验，例如中国手机号必须
且长度严格为11，不能接受
后不做归一化直接入库
所有校验后必须重赋值，别在原变量上
——
无法防
这种变形
ORM也不能自动免疫多态注入
很多人以为用了Django ORM或SQLAlchemy就高枕无忧，但
、
、或
中把用户输入塞进
位置，照样触发漏洞。ORM只保证参数化部分安全，不负责帮你管住手写的SQL片段。
实操建议：
Django里禁用
、
、
带格式化字符串的调用；必须用时，只允许传入
元组，且
里每个值都经过前述格式校验
SQLAlchemy慎用
，尤其避免
——这本身安全，但如果
是
且你又在日志里明文打印了
，可能泄露上下文
自定义数据库函数（如MySQL的
、
）若接收用户输入，需先校验输入是否为合法十六进制/Base64字符串，再解码后进参数化流程
WAF和日志里的变形payload容易被忽略
生产环境WAF日志里常看到
（即
的双重URL编码），或
（tab代替空格）。这类请求如果只在Nginx层记录而没进应用层校验，就等于漏掉了一次防御机会。
实操建议：
在Web框架中间件里做第一道解码+标准化：Python可用
，但注意多次解码（最多2次），防止
绕过
所有日志记录前，对敏感字段做脱敏：不是删掉，而是统一替换成
——否则攻击者故意发畸形payload刷满磁盘，还可能从日志反推你的校验逻辑
API入口统一用
或
取值，别直接读
——后者未解码，易遗漏变形
真正难防的不是
，而是那个在你校验函数里悄悄多加了一个
（Unicode右向覆盖符）的用户名，它能让前端显示正常，后端正则却完全匹配不上。校验逻辑和显示逻辑用的字符集不一致，才是多态注入藏得最深的地方。
' OR 1=1 --%09/**/CONCAT(CHAR(45),CHAR(45))mysql_real_escape_stringPreparedStatementpg_query_paramscursor.execute(sql, params)if column_name not in ['created_at', 'status', 'user_id']:eval()exec()format()str.strip().isalnum()user_id123%00abc123\x00int()ValueError^\d+$000011e3email.utils.parseaddrre.match(r'.+@.+\..+', s)^1[3-9]\d{9}$+8613xxxxxxxxx.replace()s = s.replace('--', '')-/*-/+Model.objects.extra(where=["name = '%s'" % user_input])queryset.extra(tables=['user_%s' % shard_id])func.concat(User.name, ' ', %s)%sextra()raw()cursor.execute()paramsparamstext()text("SELECT * FROM users WHERE name = :name").bindparams(name=user_input)user_input"admin' -- "str(text_obj)UNHEX()FROM_BASE64()%2527%2520OR%25201%253D1%2523' OR 1=1#SELECT%09*%09FROM%09usersurllib.parse.unquote_plus%252527[REDACTED]request.get_json()request.formrequest.environ['QUERY_STRING']' OR 1=1\u202e