用了参数化查询，还是被 SQL 注入了，上线 3 天几十个用户反馈账号被盗余额被刷完，求助怎么解决？

Python+MongoDB 写的一个简单（虽然业务都很简单但是有九百多个接口，选型用 Python+MongoDB 就是为了往上面堆各种奇怪格式的简单接口方便）网站，拉日志排查发现有人提交了类似这种 Payload {"password":{"$ne":"111"}}，登录接口好解决，直接 str 转换一下字段，剩下九百多个接口过一遍工作量太大了还容易有漏，有人了解如果我加一个中间件遍历提交的 JSON 把 $ 开头的 key 全部过滤掉就安全了吗？

每次用新技术必被坑，上次是被 Tauri 浪费了一整天

scriptB0y

333 天前

@drymonfidelia 但是如果攻击者使用这个 {"$ne":"111"} 传进来，你查数据的内容不应该是：

{"password": {"$eq": {\"$ne\":\"111\"}"}}

这样吗？查询也不成立呀。

莫非。。。你直接让前端给你传过来查询的语句？

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://yangjunhui.monster/t/1048156

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.