在server.xml文件中，firewall标签用来定义防火墙；firewall下whitehost标签用来定义 IP白名单 ，blacklist用来定义 SQL黑名单。
<firewall> <whitehost> <!-- ip 白名单 用户对应的可以访问的 ip 地址 --> <host user="mycat" host="127.0.0.1"></host> </whitehost> <blacklist check="true"> <!-- 黑名单允许的 权限 --> <property name="selelctAllow">false</property> </blacklist> </firewall>
一、黑名单拦截明细配置
selelctAllow，缺省 true，是否允许执行 SELECT 语句 selectAllColumnAllow，缺省true，是否允许执行 SELECT * FROM T 这样的语句。如果设置为 false，不允许执行 select * from t，但可以select * from (select id, name from t) a。这个选项是防御程序通过调用 select * 获得数据表的结构信息。 selectIntoAllow，缺省true，SELECT 查询中是否允许 INTO 字句 deleteAllow，缺省true，是否允许执行 DELETE 语句 updateAllow，缺省true，是否允许执行 UPDATE 语句 insertAllow，缺省true，是否允许执行 INSERT 语句 replaceAllow，缺省true，是否允许执行 REPLACE 语句 mergeAllow，缺省true，是否允许执行 MERGE 语句，这个只在 Oracle 中有用 callAllow，缺省true，是否允许通过 jdbc 的 call 语法调用存储过程 setAllow，缺省true，是否允许使用 SET 语法 truncateAllow，缺省true，truncate 语句是危险，缺省打开，若需要自行关闭 createTableAllow，缺省true ，是否允许创建表 alterTableAllow，缺省true，是否允许执行 Alter Table 语句 dropTableAllow，缺省true，是否允许修改表 commentAllow，缺省false，是否允许语句中存在注释，Oracle 的用户不用担心，Wall 能够识别 hints和注释的区别 noneBaseStatementAllow，缺省false，是否允许非以上基本语句的其他语句，缺省关闭，通过这个选项就能够屏蔽 DDL。 multiStatementAllow，缺省false，是否允许一次执行多条语句，缺省关闭 useAllow ，缺省true， 是否允许执行 mysql 的 use 语句，缺省打开 describeAllow ，缺省true， 是否允许执行 mysql 的 describe 语句，缺省打开 showAllow，缺省true，是否允许执行 mysql 的 show 语句，缺省打开 commitAllow，缺省true， 是否允许执行 commit 操作 rollbackAllow，缺省true， 是否允许执行 roll back 操作 ##如果把 selectIntoAllow、deleteAllow、updateAllow、insertAllow、mergeAllow 都设置为 false，这就是一个只读数据源了。##
二、拦截配置－永真条件
selectWhereAlwayTrueCheck,缺省true， 检查SELECT语句的WHERE子句是否是一个永真条件 selectHavingAlwayTrueCheck，缺省true， 检查SELECT语句的HAVING子句是否是一个永真条件 deleteWhereAlwayTrueCheck，缺省true， 检查DELETE语句的WHERE子句是否是一个永真条件 deleteWhereNoneCheck，缺省false， 检查DELETE语句是否无where条件，这是有风险的，但不是SQL注入类型的风险 updateWhereAlayTrueCheck，缺省true， 检查UPDATE语句的WHERE子句是否是一个永真条件 updateWhereNoneCheck，缺省false， 检查UPDATE语句是否无where条件，这是有风险的，但不是SQL注入类型的风险 conditionAndAlwayTrueAllow，缺省false， 检查查询条件(WHERE/HAVING子句)中是否包含AND永真条件 conditionAndAlwayFalseAllow，缺省false， 检查查询条件(WHERE/HAVING子句)中是否包含AND永假条件 conditionLikeTrueAllow，缺省true， 检查查询条件(WHERE/HAVING子句)中是否包含LIKE永真条件
三、其他拦截
selectIntoOutfileAllow,缺省false， SELECT ... INTO OUTFILE 是否允许，这个是mysql注入攻击的常见手段，缺省是禁止的 selectUnionCheck，缺省true， 检测SELECT UNION selectMinusCheck，缺省true， 检测SELECT MINUS selectExceptCheck，缺省true， 检测SELECT EXCEPT selectIntersectCheck，缺省true， 检测SELECT INTERSECT mustParameterized，缺省false， 是否必须参数化，如果为True，则不允许类似WHERE ID = 1这种不参数化的SQL strictSyntaxCheck，缺省true， 是否进行严格的语法检测，Druid SQL Parser在某些场景不能覆盖所有的SQL语法，出现解析SQL出错，可以临时把这个选项设置为false，同时把SQL反馈给Druid的开发者。 conditionOpXorAllow，缺省false， 查询条件中是否允许有XOR条件。XOR不常用，很难判断永真或者永假，缺省不允许。 conditionOpBitwseAllow，缺省true， 查询条件中是否允许有"&"、"~"、"|"、"^"运算符。 conditionDoubleConstAllow，缺省false， 查询条件中是否允许连续两个常量运算表达式 minusAllow，缺省true， 是否允许SELECT * FROM A MINUS SELECT * FROM B这样的语句 intersectAllow，缺省true， 是否允许SELECT * FROM A INTERSECT SELECT * FROM B这样的语句 constArithmeticAllow，缺省true， 拦截常量运算的条件，比如说WHERE FID = 3 - 1，其中"3 - 1"是常量运算表达式。 limitZeroAllow，缺省false， 是否允许limit 0这样的语句
四、禁用对象检测配置
tableCheck,缺省true， 检测是否使用了禁用的表 schemaCheck，缺省true， 检测是否使用了禁用的Schema functionCheck，缺省true， 检测是否使用了禁用的函数 objectCheck，缺省true， 检测是否使用了“禁用对对象” variantCheck，缺省true， 检测是否使用了“禁用的变量” readOnlyTables，缺省空， 指定的表只读，不能够在SELECT INTO、DELETE、UPDATE、INSERT、MERGE中作为"被修改表"出现