Предотвращение SQL-инъекции Redshift

Question

У меня есть неудачная ситуация, когда мне нужно создать строку SQL, объединив строки - классический сценарий SQL-инъекций. I не может использование подготовленные заявления.

Если я сбегу от символа ', то я в безопасности? Или есть другие атаки?

Я использую MyBatis и это ${} обозначение (vs #{}, которое генерирует подготовленные заявления). У меня нет выбора с этим - это должно быть ${}. Я не могу использовать подготовленные заявления.

EDIT:

Чтобы добавить немного больше ясности; это ASW Redshift UNLOAD command. Первым параметром для UNLOAD является строка SQL.

Answer 1

(Учитывая, что вы не можете сделать это правильный путь из-за ограничений в Redshift):

В PostgreSQL с standard_conforming_strings набор для onвсе вам нужно сделать, это двойные кавычки, что делает ' в ''. Вот и все.

Обратные косые черты несущественны, если только standard_conforming_strings не используется или вы используете строку E''. Если любая из этих вещей истинна, тогда вам нужно выполнить обратную косую черту.

Поскольку Redshift основан на вилке старой версии PostgreSQL, я точно не знаю, как это относится к ней. Чтение документации по ее лексической структуре и синтаксису было бы разумным, чтобы убедиться, что он совместим с тем, как работает PostgreSQL.

Answer 2

PreparedStatement (Wikipedia) на самом деле путь. Одним махом вы устраняете большую кучу работы и риск, связанный с хакерами SQL Injection.

Если вы абсолютно не можете/не будете использовать PreparedStatement, вам необходимо прочитать о различных стратегиях. Вам нужно будет написать кучу проверок, чтобы изучить и изменить ваши входы и SQL. Нет silver bullet. (Ну, на самом деле, PreparedStatementне ваша серебряная пуля. Но не другого серебряной пули.)

Google для предметов, как "дезинфицировать SQL ввода". Вы найдете такие ресурсы, как:

• Bobby-Tables.com (в котором говорится, что вы используете PreparedStatement).
• Mitigation section страницы Wikipedia по SQL Injection.
• Статья, Prevent Web Attacks Using Input Sanitization.
• Статья, How to prevent SQL injection attacks?, объясняющая примерами того, как недостаточно санировать вход, и рекомендует использовать ... да, вы угадали: PreparedStatement.