8.3 數據庫使用

8.3.1 及時釋放數據庫資源

審計指標：宜及時釋放數據庫資源。

審計人員宜檢查代碼中使用數據庫后是否及時釋放數據庫連接或采用數據庫連接池，未及時釋放數據庫連接可能會造成數據庫拒絕服務風險。

8.3.2 SQL 注入

審計指標：應正確處理SOL命令中的特殊元素。

審計人員應檢查代碼利用用戶可控的輸人數據構造SOL命令時， 是否對外部輸人數據中的特殊元素進行處理， 如果未處理， 那么這些數據有可能被解釋為SOL命令而非普通用戶的輸人數據。攻擊者可對此加以利用來修改查詢邏輯，從而繞過安全檢查或插人可以修改后端數據庫的額外語句。