通过 Bash 脚本转义 MYSQL 命令行

Question

PHP 有 mysql_real_escape_string() 来正确转义任何可能导致问题的字符。为 BASH 模拟此功能的最佳方法是什么？

无论如何，有没有使用 bash 做准备好的 mysql 语句？这似乎是最好的办法。

我的大多数变量不会（不应该）有特殊字符，但是我给用户完全自由的密码。它可能包含像 ' 和 " 这样的字符。

我可能正在执行多个 SQL 语句，因此我想要制作一个接受参数然后运行该语句的脚本。这是我到目前为止所拥有的：

doSQL.sh：

#!/bin/sh

SQLUSER="root"
SQLPASS="passwor339c"
SQLHOST="localhost"

SQL="$1"
SQLDB="$2"


if [ -z "$SQL" ]; then echo "ERROR: SQL not defined"; exit 1; fi
if [ -z "$SQLDB" ]; then SQLDB="records"; fi

echo "$SQL" | mysql -u$SQLUSER -p$SQLPASS -h$SQLHOST $SQLDB

和一个示例使用上述命令：

example.sh：

PASSWORD=$1
doSQL "INSERT INTO active_records (password) VALUES ('$PASSWORD')"

显然，如果密码密码中包含单引号，则这会失败。

Answer 1

在 Bash 中，printf 可以为您进行转义：

$ a=''\''"\;:#[]{}()|&^$@!?, .<>abc123'
$ printf -v var "%q" "$a"
$ echo "$var"
\'\"\\\;:#\[\]\{\}\(\)\|\&\^\$@\!\?\,\ .\<\>abc123

我将让您决定这是否足够激进。

Answer 2

这似乎是一个使用错误工具完成工作的典型案例。

要在 bash 中实现 mysql_real_escape_string() 完成的转义，您还有大量工作要做。请注意，mysql_real_escape_string() 实际上将转义委托给 MySQL 库，该库会考虑连接和数据库字符集。它之所以被称为“真实”，是因为它的前身 mysql_escape_string() 没有考虑字符集，并且可能被欺骗注入 SQL。

我建议使用具有 MySQL 库的脚本语言，例如 Ruby、Python 或 PHP。

如果您坚持使用 bash，请使用 MySQL 准备的语句语法。

Answer 3

无论您使用什么引号，都无法逃脱以下构造：

function quoteSQL() {
    printf "FROM_BASE64('%s')" "$(echo -n "$1" | base64 -w0 )"
}

PASSWORD=$1
doSQL "INSERT INTO active_records (password) VALUES ($(quoteSQL "$PASSWORD"));"

# I would prefer piping
printf 'INSERT INTO active_records (password) VALUES (%s);\n' $(quoteSQL "$PASSWORD") | doSQL

Answer 4

mysql_real_escape_string() 当然，仅转义要引用的单个字符串文字，而不是整个语句。您需要清楚该字符串在语句中的用途。根据 MySQL 手册中关于字符串文字的部分，对于插入字符串字段时，您只需要转义单引号和双引号、反斜杠和 NUL。但是，bash 字符串不能包含 NUL，因此以下内容应该足够了：

#escape for MySQL single string
PASSWORD=${PASSWORD//\\/\\\\}
PASSWORD=${PASSWORD//\'/\\\'}
PASSWORD=${PASSWORD//\"/\\\"}

如果您将在 LIKE 之后使用该字符串，您可能还需要转义 % 和<代码>_。

准备好的陈述是另一种可能性。并确保您不在 bash 中使用 echo -e 。

另请参阅 https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet

Answer 5

这将转义撇号

a=$(echo "$1" | sed s/"'"/"\\\'"/g)

，但请注意 mysql_real_escape_string 也会转义 \x00、\n、\r、\、" 和 \x1a。为了完全安全，请务必转义这些。

例如，要转义 \x00：

a=$(echo "$1" | sed s/"\x00"/"\\\'"/g)

稍加努力，您就可以可能使用一个 sed 命令来转义这些。

Answer 6

当然，为什么不直接使用真实的东西呢？

脚本，可以在任何地方，例如
〜/scripts/mysqli_real_escape.php

#!/bin/php
<?php

$std_input_data = '';
$mysqli             = new mysqli('localhost', 'username', 'pass', 'database_name');

if( ftell(STDIN) !== false  )       $std_input_data = stream_get_contents(STDIN);
if( empty($std_input_data)  )       exit('No input piped in');
if( mysqli_connect_errno( ) )       exit('Could not connect to database');

fwrite  (   STDOUT, 
            $mysqli->real_escape_string($std_input_data) 
        );

exit(0);

?>

接下来，从 bash 终端运行：

chmod +x ~/script/mysqli_real_escape.php`
ln -s ~/script/mysqli_real_escape.php /usr/bin/mysqli_real_escape

一切就绪！现在您可以在 bash 脚本中使用 mysqli_real_escape！

#!/bin/bash
MyString="stringW@#)*special characters"
MyString="$(printf "$MyString" | mysqli_real_escape )"

注意：据我了解，使用 "$(cmd ..."$var")" 进行命令替换优于使用反引号。然而，由于不需要进一步的嵌套，所以两者都应该没问题。

进一步注意：在命令替换 "$(...)" 内部时，会创建一个新的引用上下文。这就是变量周围的引号不会弄乱字符串的原因。

Answer 7

我就是这样做的，其中 my-file.txt 包含空格、换行符和引号：

IFS='' content=$(cat my-file.txt)
mysql <flags> -e "update table set column = $(echo ${content@Q} | cut -c 2-) where something = 123"

Answer 8

以下是我编写的几个 Bash 函数，它们被分组到一个库中。

它提供了正确引用/转义字符串和标识符的方法：

##### db library functions #####

# Executes SQL Queries on localhost's MySQL server
#
# @Env
# $adminDBUser: The database user
# $adminDBPassword: The database user's password
#
# @Params
# $@: Optional MySQL arguments
#
# @Output
# >&1: The MySQL output stream
db::execute() {
  # Uncomment below to debug
  #tee --append debug.sql |
    mysql \
      --batch \
      --silent \
      --user="${adminDBUser:?}" \
      --password="${adminDBPassword:?}" \
      --host=localhost \
      "$@"
}

# Produces a quoted string suitable for inclusion in SQL statements.
#
# @Params
# $1: The string to bo quoted
#
# @Output
# >&1: The quoted identifier suitable for inclusion in SQL statements
db::quoteString() {
  local -- string="${1:?}"
  local -- bas64String && bas64String=$(printf %s "${string}" | base64)
  db::execute <<< "SELECT QUOTE(FROM_BASE64('${bas64String}'));"
}

# Produces a quoted identifier suitable for inclusion in SQL statements.
#
# @Params
# $1: The identifier to bo quoted
#
# @Output
# >&1: The quoted identifier suitable for inclusion in SQL statements
db::quoteIdentifier() {
  local -- identifier="${1:?}"
  local -- bas64Identifier && bas64Identifier=$(printf %s "${identifier}" | base64)
  db::execute <<< "SELECT sys.quote_identifier(FROM_BASE64('${bas64Identifier}'))"
}

Answer 9

简短回答：使用 \ （转义字符）。

如果您的值具有美元字符，例如： $p123$hello 那么在 bash 中您可以通过 \ 转义它。那么字符串将是 \$p123\$hello

在我的例子中，我已经像这样更改密码：

mysql> update users set password='\$p123\$hello' where id = 1;
Query OK, 1 row affected (0.00 sec)
Rows matched: 1  Changed: 1  Warnings: 0

Answer 10

这将起作用：

echo "John O'hara"  | php -R 'echo addslashes($argn);'

将其传递给变量：

name=$(echo "John O'hara"  | php -R 'echo addslashes($argn);')