KingbaseES 数据库 SQL 防火墙防护机制
在数字化转型中，数据已成为企业核心资产。SQL 注入攻击时刻威胁着数据库安全。即使开发团队使用预编译、输入过滤等手段，遗留代码、第三方组件漏洞或人为疏忽仍可能给攻击者可乘之机。KingbaseES V009R002C014 版本内置的 SQL 防火墙提供了一种更主动的防御方案——从数据库内核层构建防护，让恶意 SQL 无处遁形。
SQL 注入原理与风险
SQL 注入的原理是将恶意代码伪装成正常输入，欺骗数据库执行非预期操作。
例如：一个登录表单中，用户在用户名栏输入 ' OR '1'='1，后台查询语句可能变成：
SELECT * FROM users WHERE OR '1'='1' AND password='xxx'
由于 '1'='1' 恒为真，攻击者无需密码即可绕过认证。更严重的情况如 DROP TABLE users;--，若应用层未做好过滤，整张表可能瞬间被删除。
传统防御手段依赖开发人员编码习惯，一旦动态 SQL 遗漏参数化，漏洞便产生。金仓数据库 SQL 防火墙直接在数据库内核层'设卡查验'，无论应用层是否有疏忽，所有 SQL 语句都必须经过它的校验才能放行。
三种工作模式
核心理念是只允许合法 SQL 通行，拒绝非法语句。系统通过建立合法 SQL 白名单，设计了三种工作模式：
- 学习模式：管理员指定需要监控的用户后，系统自动观察并记录这些用户执行的所有 SQL，将其记录为合法规则。无需手动编写复杂规则。
- 警告模式：正式上线前开启。所有 SQL 都会被执行，但若某条 SQL 不在白名单中，系统会发出警报并记录日志。安全管理员可根据日志微调白名单。
- 报错模式：经过充分测试后开启。任何不在白名单的 SQL 都会被直接拦截并返回错误，同时写入日志。
性能与配置
拦截准确率
SQL 防火墙全面检查所有数据库连接执行的 SQL 语句，无法被绕过。它直接读取数据库内核解析 SQL 的结果来计算特征值，而非简单匹配字符串。这意味着即使 DML 语句中的常量千变万化，特征值仍然稳定不变。
实测数据如下：
| 指标 | 数值 |
|---|---|
| 非法 sql 总数 | 900 万 |
| 合法 sql 总数 | 100 万 |
| 被检出的非法 sql 数 | 900 万 |
| 被拦截的合法 sql 数 | 0 |
| 未被检出的非法 sql 数 | 0 |
准确率接近 100%。
性能损耗
作为金仓数据库原生的内部插件，SQL 防火墙与数据库深度集成。在 100 个会话并发执行 500 条不同 SQL 场景下，测试发现性能损耗在 6% 以下。
警告模式性能表现：
| 非法 SQL 占比 | 0% | 1% |
|---|
