Spring中druid配置multi-statement-allow=true后仍报SQL注入防御错误怎么办？

Question

在Spring项目中，使用Druid连接池时，即使配置了`multi-statement-allow=true`，仍可能遇到SQL注入防御错误。此问题通常源于Druid的SQL防火墙功能默认开启，它会对SQL语句进行严格校验，阻止潜在的多语句注入风险。 **解决方法：** 1. 确认`druid-stat.properties`或`application.yml`中正确添加`multi-statement-allow=true`。 ```yaml spring: datasource: druid: filter: stat: log-slow-sql: true connection-properties: druid.stat.slowSqlMillis=5000;druid.stat.logSlowSql=true;multi-statement-allow=true ``` 2. 如果仍报错，需检查是否启用了Druid的SQL防火墙。可通过设置`wall.filter.enabled=false`关闭防火墙（谨慎操作，确保SQL安全性）。 ```yaml spring: datasource: druid: wall: filter-enabled: false ``` 3. 若必须保留防火墙，可调整其规则，允许特定多语句执行，例如设置`multi-statement-separator`。 注意：修改配置前，请确保业务场景确实需要多语句支持，并充分评估安全风险。

Answer 1

1. 问题背景与初步分析

在Spring项目中使用Druid连接池时，即使配置了`multi-statement-allow=true`，仍可能遇到SQL注入防御错误。这种问题通常源于Druid的SQL防火墙功能默认开启，它会对SQL语句进行严格校验，阻止潜在的多语句注入风险。

为了更好地理解这个问题，我们需要从以下几个方面入手：

• 确认是否正确配置了`multi-statement-allow=true`。
• 检查是否存在其他安全机制（如SQL防火墙）干扰正常执行。
• 评估业务场景是否确实需要多语句支持，并权衡安全风险。

接下来，我们将逐步探讨如何解决这一问题。

2. 配置检查与调整

首先，确保在`druid-stat.properties`或`application.yml`中正确添加了`multi-statement-allow=true`。以下是示例配置：

spring:
  datasource:
    druid:
      filter:
        stat:
          log-slow-sql: true
      connection-properties: druid.stat.slowSqlMillis=5000;druid.stat.logSlowSql=true;multi-statement-allow=true
    

如果上述配置仍然无法解决问题，则需要进一步排查是否有其他因素影响。

3. 深入分析：SQL防火墙的作用

Druid的SQL防火墙默认开启，用于防止SQL注入攻击。然而，这也可能导致某些合法的多语句SQL被误判为潜在威胁。以下是一个典型的配置冲突场景：

配置项	默认值	说明
`wall.filter.enabled`	true	是否启用SQL防火墙过滤器。
`multi-statement-allow`	false	是否允许执行多语句SQL。

当`wall.filter.enabled=true`且`multi-statement-allow=true`时，SQL防火墙可能会优先拦截多语句请求，导致配置失效。

4. 解决方案

根据具体需求，可以选择以下几种解决方案：

1. 关闭SQL防火墙：通过设置`wall.filter.enabled=false`来禁用SQL防火墙。此方法简单直接，但需谨慎操作，确保SQL安全性。

2. 
   spring:
     datasource:
       druid:
         wall:
           filter-enabled: false
           

3. 调整防火墙规则：若必须保留防火墙，可修改其规则以允许特定多语句执行。例如，设置`multi-statement-separator`来定义合法的分隔符。
4. 重新评估业务需求：确认是否真的需要多语句支持。如果可以通过单语句实现相同功能，则无需冒险启用多语句。

5. 安全性与性能考量

在实际应用中，多语句支持虽然能提高开发效率，但也可能带来安全风险。因此，在启用相关功能前，请务必完成以下步骤：

• 全面测试所有涉及多语句的SQL语句，确保其行为符合预期。
• 记录并监控相关日志，及时发现异常情况。
• 定期审查代码和配置，避免因疏忽引入安全隐患。

此外，可以借助流程图来更直观地展示问题解决思路：

graph TD;
            A[确认配置] --> B{是否报错};
            B --是--> C[检查SQL防火墙];
            C --> D{是否关闭防火墙};
            D --是--> E[设置wall.filter.enabled=false];
            D --否--> F[调整防火墙规则];
            B --否--> G[验证成功];