Вы пытаетесь предотвратить SQL-инъекцию. Похоже, вы заметили приговор заменить один апостроф (') двумя апострофами (''). Но они говорили только о содержании ввода пользователя, а не о нем.
Давайте посмотрим, как такая атака может работать. Вы даете пользователю поле, в котором вы хотите, чтобы они вводили название города. Вы хотите использовать это значение в своем запросе.
query := "select * from address where upper(city)=upper('" || input_city || ")'"
И тогда вы отправите эту строку запроса, которая будет интерпретироваться сервером базы данных. Все нормально, если они вводят bellvue или NEW YORK. Но подумайте о том, что произойдет, если они войдут в Washington's Crossing, тогда у вас есть проблема. Первая часть строки запроса заканчивается апострофом, чтобы начать строковый литерал, но апостроф в названии города завершит литерал, а s Crossing вызовет синтаксическую ошибку.
Теперь представьте, что может случиться, если кто-то знал об этом и получил творческий подход к их вкладу? Давайте посмотрим на несколько.
x' or '1'='1
'; select * from tablescatalog where table_name >'
'; delete from customers where name<>'
или некоторые другие ценности, которые могут ухудшить ситуацию. Теперь вы можете понять, почему это поле ввода требует особого внимания при динамическом построении запроса. Вам необходимо обработать невидимые символы, прежде чем использовать их в строке запроса.
В качестве альтернативы вы можете ПОДГОТОВИТЬ параметризованный запрос. Это, как правило, более безопасный метод. Он работает намного лучше.
В: Вы можете успешно использовать одну цитату ('), правильно? Если да, в чем проблема? – FoggyDay
Правильная, одинарная кавычка отлично работает. Я пытаюсь защитить запрос, избегая ввода пользователя (см. Ссылку: https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet). Они идеально подходят для использования PreparedStatement, но в нашем случае запрос генерируется путем ввода пользователем, поэтому анализ запроса и генерация PreparedStatement является довольно дорогостоящим. Escaping - это еще один способ, и именно поэтому мы заменяем одну кавычку двумя одиночными кавычками. – galina62