服务器防SQL注入配置：从代码到WAF的完整实操指南

知识分享

2026-10-14 04:00

10 阅读

SQL注入的本质是应用把用户输入当成SQL语句执行。
服务器层面要堵住这个口子，不能只靠单一手段，需要代码层参数化查询、Web应用防火墙拦截、数据库权限最小化三层配合。
下面按零基础可照做的顺序展开，每一步都给出命令或配置片段，最后说明如何验证拦截是否生效。

开始前的环境确认

动手前先确认三件事，避免配置改完无法回滚。

确认Web服务器类型。本文以Nginx为例，Apache用户把配置片段放到对应虚拟主机目录即可，命令逻辑一致。
确认数据库账号权限。执行 mysql -u root -p -e "SELECT user,host FROM mysql.user;" 查看现有账号，记下应用实际使用的账号名。
备份当前配置。执行 cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak，改错时可直接还原。

如果使用宝塔面板，
Nginx配置文件通常在 /www/server/nginx/conf/nginx.conf，
站点配置在 /www/server/panel/vhost/nginx/ 下。

WAF只能拦已知模式，真正消除注入风险的是代码不再拼接SQL。
PHP中常见错误写法是 $sql = "SELECT * FROM users WHERE id = " . $_GET['id'];，正确做法是使用PDO预处理：

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute([':id' => $_GET['id']]);

Java项目使用 PreparedStatement，Python使用 cursor.execute(sql, params) 传参而非字符串拼接。
这一步不做，后面所有服务器配置都只是缓解。

ModSecurity是Nginx常用的开源WAF模块，配合OWASP核心规则集可拦截大量注入尝试。

安装依赖和模块：

apt install libmodsecurity3 libnginx-mod-http-modsecurity -y

在 nginx.conf 的 http 块中加载模块并开启：

modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

main.conf 中引入规则集：

Include /etc/nginx/modsec/modsecurity.conf
Include /etc/nginx/modsec/crs-setup.conf
Include /etc/nginx/modsec/rules/*.conf

重载配置：nginx -t && systemctl reload nginx。nginx -t 必须返回 successful，否则先修正语法再重载。

应用数据库账号不应拥有 DROP、FILE 或跨库读取权限。
以MySQL为例，创建一个只对业务库有增删改查权限的账号：

CREATE USER 'app_user'@'127.0.0.1' IDENTIFIED BY '强密码';
GRANT SELECT, INSERT, UPDATE, DELETE ON app_db.* TO 'app_user'@'127.0.0.1';
FLUSH PRIVILEGES;

同时确认数据库只监听内网地址，在 my.cnf 中设置 bind-address = 127.0.0.1，避免3306端口对公网开放。

改完配置后需要实际测试，不能只看配置文件没报错。

用curl发送一个带注入特征的请求：

curl -i "http://你的域名/?id=1%20AND%201=1"

如果ModSecurity生效，返回状态码通常是403，响应头或日志中会出现规则命中记录。
查看拦截日志：

tail -f /var/log/modsec_audit.log

日志中应能看到触发的规则ID和请求URI。
如果返回200且正常执行业务逻辑，说明规则未命中或模块未加载，需要回到 nginx -t 和模块加载步骤排查。

规则误拦正常请求。 OWASP规则集较严格，可能拦截含特殊字符的表单提交。
先查看 modsec_audit.log 确认是哪条规则命中，再通过 SecRuleRemoveById 在站点配置中排除特定规则，不要直接关闭整个WAF。

改完Nginx无法启动。 多数是 main.conf 中Include路径写错或规则文件缺失。
用 nginx -t 查看具体行号，逐条修正。

只配WAF不改进代码。 WAF规则更新有滞后，编码绕过手法不断变化。
参数化查询才是彻底方案，WAF作为补充层。

忽略日志轮转。 ModSecurity审计日志增长很快，建议在logrotate中配置按天切割并保留7天，避免磁盘写满导致服务异常。

ModSecurity会影响网站性能吗？ 会有一定开销，通常在高并发下才明显。
可先开启DetectionOnly模式观察规则命中情况，确认误拦率可接受后再切换为拦截模式。

宝塔面板自带防火墙够用吗？ 宝塔的Nginx防火墙提供基础规则，但规则集覆盖面和更新频率与OWASP CRS不同。
两者可以叠加使用，但要注意规则重复导致的重复拦截日志。

没有独立服务器能用这套配置吗？ 虚拟主机通常无法安装Nginx模块。
这种情况下优先保证代码参数化查询，并联系主机商确认是否提供WAF服务。

服务器防SQL注入配置的核心顺序是：先让代码不再拼接SQL，再用WAF拦截漏网请求，最后收紧数据库权限缩小影响面。
三步都做完后，用curl加日志验证实际拦截效果，才算配置完成。