防范SQL注入需多层防护，核心是安全编码，应用层使用预处理语句，配合Web服务器配置WAF拦截恶意请求，限制数据库权限，加强日志监控与告警，形成纵深防御体系。
防范SQL注入的关键在于从应用层到服务器配置的多层防护。虽然SQL注入主要由应用程序代码缺陷引起，但Linux系统的Web服务器配置能有效增强整体安全性，减少攻击面。
使用安全的Web服务器配置
Web服务器是外部请求的第一入口，合理配置可拦截恶意输入。
- Apache + ModSecurity： 部署ModSecurity模块，它是一个开源的Web应用防火墙（WAF），可识别并阻止常见的SQL注入特征。启用核心规则集（CRS）来检测恶意请求。
-
Nginx + WAF模块： 若使用Nginx，可通过集成OpenResty或编译第三方模块（如ngx_lua_waf）实现类似防护，设置规则过滤含
union select、' or 1=1--等关键字的请求。 - 定期更新服务器和模块版本，避免因已知漏洞被绕过。
限制数据库账户权限
即使注入发生，低权限账户也能降低危害。
- 为Web应用创建专用数据库用户，禁止使用root或高权限账户连接数据库。
- 仅授予必要的操作权限，如SELECT、INSERT，禁用DROP、LOAD_FILE()、EXECUTE等高风险操作。
- 在MySQL中可通过如下语句控制：
GRANT SELECT, INSERT ON appdb.* TO 'webuser'@'localhost';REVOKE DELETE, DROP, FILE ON *.* FROM 'webuser'@'localhost';
输入验证与输出转义（服务端配合）
Web服务器可辅助进行初步过滤，但最终需程序层面处理。
- 在Nginx或Apache中使用rewrite规则或Lua脚本对URL参数做简单检查，例如拒绝包含
--、;+、sleep(等敏感字符串的请求。 - 配置PHP时关闭
register_globals和magic_quotes_gpc（已废弃），避免自动转义带来的误解，改用预处理语句（Prepared Statements）。 - 确保应用使用PDO或MySQLi的参数化查询，从根本上杜绝拼接SQL的风险。
日志监控与告警
及时发现可疑行为有助于快速响应。
- 开启Web服务器访问日志和错误日志，定期分析异常请求模式，如大量404后跟SQL语法关键词。
- 使用
fail2ban工具监控日志文件，自动封禁频繁发送恶意请求的IP地址。 - 配置日志集中管理（如ELK或rsyslog），便于审计和追踪攻击源。
基本上就这些。Linux系统本身不直接防御SQL注入，但通过合理的Web服务器配置、权限控制和日志机制，能显著提升应用的抗攻击能力。核心仍是开发阶段的安全编码，服务器配置作为纵深防御的重要一环不可忽视。
