作为一个久经考验的Java开发者，你一定用过连接池技术，但你是否真正把Druid连接池的监控能力和安全防护功能发挥到极致？本文将以Spring Boot项目为例，手把手教你如何配置Druid的实时监控和SQL防火墙，并通过代码示例展示如何避免SQL注入攻击。文中所有示例均基于Java 11 + Spring Boot 2.7 + Druid 1.2.8技术栈。
一、Druid连接池监控功能的实操指南
1.1 为什么需要监控？
数据库连接池的性能直接影响系统吞吐量。Druid内置的监控模块能够实时追踪连接池状态，比如活跃连接数、等待线程数、SQL执行时间等指标，帮助开发者在出现性能瓶颈时快速定位问题。
1.2 监控配置实战
// 在Spring Boot配置类中启用监控Servlet
@Configuration
public class DruidConfig {
@Bean
public ServletRegistrationBean<StatViewServlet> statViewServlet() {
ServletRegistrationBean<StatViewServlet> bean =
new ServletRegistrationBean<>(new StatViewServlet(), "/druid/*");
// 设置监控页面的登录账号（生产环境建议从配置中心读取）
Map<String, String> initParams = new HashMap<>();
initParams.put("loginUsername", "admin");
initParams.put("loginPassword", "druid@2023");
// 允许哪些IP访问监控页面（空值表示允许所有）
initParams.put("allow", "");
bean.setInitParameters(initParams);
return bean;
}
@Bean
public FilterRegistrationBean<WebStatFilter> webStatFilter() {
FilterRegistrationBean<WebStatFilter> bean =
new FilterRegistrationBean<>(new WebStatFilter());
// 配置不统计的请求类型
bean.setInitParameters(Map.of(
"exclusions", "*.js,*.css,/druid/*"
));
bean.addUrlPatterns("/*");
return bean;
}
}
效果验证：启动应用后访问http://localhost:8080/druid，输入账号密码即可看到如下关键指标：
- SQL执行次数TOP10
- 慢SQL记录（默认超过1秒判定为慢查询）
- 连接池活跃线程热力图
二、SQL防火墙：注入攻击的终结者
2.1 防注入原理剖析
Druid通过内置的WallFilter组件实现以下防护策略：
- 语法模式校验：禁止
DELETE语句无WHERE条件 - 黑名单机制：拦截
OR 1=1等危险片段 - 敏感操作审计：记录全表更新等高危操作日志
2.2 防火墙配置示例
spring:
datasource:
druid:
filters: stat,wall
wall:
config:
# 允许非基本语句的多语句执行（默认false）
multi-statement-allow: false
# 禁止删除语句无WHERE条件
delete-allow: false
# 启用严格检查模式
strict-syntax-check: true
2.3 模拟攻击测试案例
// 注入攻击测试代码
public class UserController {
@Autowired
private JdbcTemplate jdbcTemplate;
@GetMapping("/vulnerable")
public String vulnerableQuery(@RequestParam String name) {
// 危险写法：直接拼接参数
String sql = "SELECT * FROM users WHERE name = '" + name + "'";
return jdbcTemplate.queryForList(sql).toString();
}
@GetMapping("/safe")
public String safeQuery(@RequestParam String name) {
// 正确写法：使用预编译语句
String sql = "SELECT * FROM users WHERE name = ?";
return jdbcTemplate.queryForList(sql, name).toString();
}
}
触发拦截：当向/vulnerable接口传入' OR '1'='1参数时，Druid会抛出WallFilter拒绝执行异常并记录攻击日志。
三、功能深度解析
3.1 适用场景分析
- 电商大促监控：通过实时监控发现连接池瓶颈，动态调整
maxActive参数 - 金融系统审计：利用SQL防火墙拦截非法资金划转操作
- 医疗系统优化：通过慢SQL分析优化病历查询效率
3.2 技术优缺点对比
| 优势项 | 局限性 |
|---|---|
| 细粒度监控指标 | 界面美化需二次开发 |
| 零侵入式SQL防护 | 学习曲线相对陡峭 |
| 兼容主流数据库 | 原生不支持NoSQL |
3.3 防踩坑指南
- 监控页面暴露风险
务必修改默认账号密码，生产环境建议配置IP白名单：
wall:
config:
# 仅允许内部服务器访问
permit-names: 192.168.1.*
- 防误杀问题处理
遇到合法SQL被拦截时，可通过wall.config.xxxx-allow精细化配置：
// 允许特定的函数调用
WallConfig config = new WallConfig();
config.setFunctionCheck("MY_SAFE_FUNC", true);
- 监控数据持久化
默认监控数据存储在内存中，重启后丢失。可通过以下配置开启日志记录：
spring:
datasource:
druid:
stat:
log-slow-sql: true
slow-sql-millis: 500
四、总结与展望
通过本文的实践演示，我们不仅掌握了Druid连接池的监控面板搭建方法，还深入理解了SQL防火墙的工作原理。在日均百万级请求的系统中，合理配置后的Druid能够将数据库异常发现时间从小时级缩短到分钟级。未来可结合Prometheus+Grafana构建可视化监控大屏，进一步提升运维效率。
评论