[發明專利]SQL安全檢查方法、系統、裝置及存儲介質

在審

• 申請號: 202111087066.5
• 申請日: 2021-09-16
• 公開（公告）號: CN113742367A
• 公開（公告）日: 2021-12-03
• 發明（設計）人: 劉樂;范淵;黃進
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F16/242
• 分類號: G06F16/242;G06F21/62
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 劉珂

本申請公開了一種SQL安全檢查方法、系統、裝置及計算機可讀存儲介質，包括：接收用戶終端上傳的SQL請求；利用基于LALR文法實現的有限狀態自動機和預先配置的安全策略對SQL請求進行安全檢查；如果SQL請求通過安全檢查，則允許訪問數據庫；如果SQL請求未通過安全檢查，則根據安全策略，進行告警。本申請設置基于LALR文法實現的有限狀態自動機和預先配置的安全策略對SQL請求進行安全檢查，可以自動篩選出滿足安全策略的SQL請求，允許其訪問數據庫，也可以自動拒絕不滿足安全策略的SQL請求禁止訪問數據庫，提高了數據庫的安全性，同時有限狀態自動機和安全策略支持用戶自定義配置，提高了安全檢查的靈活性。

技術領域

本發明涉及計算機技術領域，特別涉及一種SQL安全檢查方法、系統、裝置及計算機可讀存儲介質。

背景技術

關系型數據庫作為最主流的存儲數據庫，相較于nosql數據庫在國際市場上仍處于霸主地位，尤其以mysql和oracle為首的數據庫軟件基本處于壟斷地位。這兩個數據庫軟件雖有自己的sql語法，但都遵循標準sql語法規范。所以解決了標準SQL請求安全問題，就約等于解決了市面上大部分公司的數據庫安全問題。然而大多數公司在數據庫安全方面意識不足，或者有安全意識但是沒有安全能力。一些公司為了解決安全問題，在代碼里寫了大量的安全檢查，嚴重拉低了研發效率，使得研發成本明顯上升。而且大多數公司手寫的安全檢查代碼并不可靠。

現有企業大部分不具有安全檢查能力，例如sql注入是通過字符匹配完成的，效率低且需要滲入代碼中，識別效率低且維護困難。越權查詢，盜竊查詢等更需要大量編碼且無法復用，一旦業務改動，代碼需要重新修改，代碼可靠性下降導致安全可靠性下降。

一些企業通過異步解析方式來完成安全檢查。具體流程是將sql執行語句記錄下來，然后導出到其他sql分析系統，產生安全檢查報告，然后再根據報告的問題進行修復。這種亡羊補牢式的方案會造成巨大損失，甚至一次重大失誤會導致數據庫系統不可逆的損害，后續的修復自然也就沒有意義了。

基于普通方式進行sql拆解然后分析檢查得出結論，這種方式相對第一種方式沒有代碼入侵，可靠性更高。相對第二種方式更具有實時性，發現問題后直接攔截sql，避免了財產損失。但是這種方式有一個致命的缺點就是性能極差。它實現方式是通過一個中間件對sql進行拆解分析，然后輸出是否放行的結論。但市面上的sql分析中間件，大多采用正則匹配的方式。這種方式性能較差，對每個sql都進行安全檢查都會讓響應時間變長。積少成多，最終嚴重拖累數據庫，導致sql擠壓，性能暴跌，然后服務器癱瘓。

為此，需要一種能夠可靠運行的數據庫安全檢查方法。

發明內容

有鑒于此，本發明的目的在于提供一種SQL安全檢查方法、系統、裝置及計算機可讀存儲介質，提高可靠性。其具體方案如下：

一種SQL安全檢查方法，包括：

接收用戶終端上傳的SQL請求；

利用基于LALR文法實現的有限狀態自動機和預先配置的安全策略對所述SQL請求進行安全檢查；

如果所述SQL請求通過所述安全檢查，則允許訪問數據庫；

如果所述SQL請求未通過所述安全檢查，則根據所述安全策略，進行告警。

可選的，所述利用基于LALR文法實現的有限狀態自動機和預先配置的安全策略對所述SQL請求進行安全檢查的過程，包括：

利用基于LALR文法實現的所述有限狀態自動機對所述SQL請求進行拆解，得到邏輯語句；

對邏輯語句進行注入檢查。

可選的，所述利用基于LALR文法實現的所述有限狀態自動機對所述SQL請求進行拆解，得到多個邏輯語句的過程，包括：