injection-prevention

用途：在代码审查中识别并修复注入类漏洞，覆盖 OWASP A01，包括 SQL、NoSQL、命令、LDAP、XPath 及表达式语言注入。适用场景包括审查拼接 SQL/NoSQL 查询的代码、执行 Shell 命令的代码、用户输入进入解释器的位置、接收用户数据的 API，以及从字符串拼接迁移到参数化查询。主要能力：给出各注入类型的危险等级与常见位置（如数据库查询、MongoDB/Redis/Elasticsearch、Shell exec、目录服务、模板引擎与 eval）；列出危险模式（字符串拼接、格式化字符串、ORM 字符串插值、直接使用用户输入执行命令等）；提供防护技术，包括 SQL 参数化查询与预处理语句（Node.js、Python、PHP PDO 示例）、NoSQL 输入校验与 Schema 验证、命令注入防护（数组参数 execFile、白名单校验、改用库替代 Shell）、输入校验（类型、长度、正则、白名单）；附带代码审查清单与手动测试载荷。使用方式：作为技能在代码审查时参考，逐项核对清单；可结合 sqlmap、nosqlmap、commix 等工具进行测试，命令如 sqlmap -u "http://target.com/page?id=1" --dbs。框架指引覆盖 Express.js/Node.js、Django/Python、Rails/Ruby、Laravel/PHP。限制：资料未提供具体安装方式、收费信息或与特定平台的绑定说明；示例载荷与工具命令仅用于授权测试，实际效果依环境而定。