Интеллектуальное решение SQL-инъекции

Question

Это одна из проблем с конфликтом ключевого слова в модуле запроса моего приложения, пожалуйста, посмотрите, можете ли вы сказать мне умное решение.

Во-первых, в модуле запроса, каждое условие запроса содержит три части в интерфейсе:

имя 1.field, его значение фиксируется, например, происхождение, finalDest ...

2.operator, это выбранный список, который включает «как», «не нравится», «in», «not in», «=», «! =»

3.значение, эта часть вводится пользователем. end, он будет собирать инструкцию SQL в соответствии с критериями запроса пользовательского интерфейса, например, если пользователь вводит/выбирает следующие данные в пользовательском интерфейсе

Field Name  Operator  Value 
origin   like   CHI 
finalDest  in    SEL 

В заднем конце, он будет генерировать следующий SQL:

выберите * от заказа, где происхождения, как '% CHI%' и finalDest в ('SEL').

Но есть ошибка, например, если пользователь вводит некоторый специальный символ в «значение», например «« »,« _ »и т. Д., Это приведет к тому, что сгенерированный SQL также содержит« или _ », например:

выберите * from Booking, где происхождение типа '% C_HI%' и finalDest in ('S'EL').

вы могли видеть, как есть специальный символ «где» блок, то SQL не может быть выполнено

Для этой задачи, мое решение добавить экранирующий символ «/» перед специальным символом перед но я знаю, что это просто «или», которые будут противоречить ключевым словам SQL, знаете ли вы, есть ли какие-либо другие аналогичные символы, которые мне нужно обработать, или у вас есть идея, которая может избежать инъекции.

Извините, забыли, сказал вам, какой язык я использую, я использую java, DB - это mysql, я также использую hibernate, многие люди говорят, почему я не использовал PreparedStatement, это немного сложно, просто Speakin g, в моей компании у нас был FW, называемый динамическим запросом, мы предварительно определили фрагмент SQL в XML-файле, тогда мы собираем SQL в соответствии с прохождением UI в критериях с выражением jxel, поскольку SQL является своего рода предопределенные вещи, я боюсь, если вы измените использование PreparedStatement, это потребует значительных изменений для нашей FW, поэтому нам очень важно решить проблему SQL-инъекции простым способом.

Answer 1

0 An ASCII NUL (0x00) character. 
' A single quote (“'”) character. 
" A double quote (“"”) character. 
b A backspace character. 
n A newline (linefeed) character. 
r A carriage return character. 
t A tab character. 
Z ASCII 26 (Control+Z). See note following the table. 
\ A backslash (“\”) character. 
% A “%” character. See note following the table. 
_ A “_” character. See note following the table 

Reference

Stack Similar Question

Answer 2

Код должен начинаться с попытки остановить SQL-инъекцию на стороне сервера до отправки любой информации в базу данных. Я не уверен, какой язык вы используете, но обычно это достигается путем создания инструкции, содержащей какие-либо переменные связывания. В Java это PreparedStatement, другие языки содержат похожие функции.

Использование переменных привязки или параметров в инструкции будет использовать встроенную защиту от SQL-инъекции, которая, честно говоря, будет лучше, чем все, что вы или я пишем в базе данных. Если вы выполняете конкатенацию String на стороне сервера, чтобы сформировать полный оператор SQL, это индикатор риска инъекции SQL.

Answer 3

Вы должны использовать переменные привязки в вашем SQL заявление. Как уже упоминалось, это делается с помощью PreparedStatements в Java.

Чтобы убедиться, используются только допустимые имена столбцов, вы можете проверить ввод данных по базе данных. MySQL предоставляет информацию о схеме, такую ​​как столбцы каждой таблицы, как часть INFORMATION_SCHEMA. Для получения более подробной информации, обратитесь к документации MySQL:

"The INFORMATION_SCHEMA COLUMNS Table"