关键信息 漏洞描述 漏洞类型: SQL注入 受影响版本: ruoyi-go v1.0.0 漏洞原因: 参数从获取到使用过程中未进行任何处理或限制，导致恶意构造的SQL语句被直接拼接到SQL查询中，引发SQL注入漏洞。 漏洞分析 代码位置: 关键代码片段: - 参数 和 直接拼接到SQL语句中，未经过任何验证或转义。 漏洞影响 攻击者可以利用此漏洞进行数据泄露、数据篡改、绕过身份验证和授权、执行任意系统命令等操作。 漏洞验证 POC（概念验证）: 安全建议 对用户输入参数进行严格校验，限制排序字段为预定义的合法字段，并禁止使用特殊字符。 根据业务需求限定排序方向，仅允许 和 ，并过滤其他非法值。 使用ORM框架提供的安全查询方法，避免直接拼接用户输入的排序字符串到SQL语句中。 对分页参数（如 和 ）设置范围限制，防止性能问题或信息泄露。