Как сделать INSERT более безопасным?

Question

Это мой метод. Как вы можете видеть, я использую собственный sql для выполнения запросов INSERT.

public void addNews(String title, String content) { 

     Session session = null; 

     session = this.sessionFactory.getCurrentSession(); 
     Query query = session 
       .createSQLQuery(
         "INSERT INTO news VALUES(NULL,:title,:content,NULL)") 
       .setString("title", title).setString("content", content); 
     int updated = query.executeUpdate(); 

    } 

Безопасно? Или как я могу улучшить свой метод?

Answer 1

Да, задание значений в качестве параметров (метод setString()), предотвращающий SQL-инъекции. Незащищенная SQL-оператор выглядит следующим образом:

String query = "INSERT INTO news VALUES(NULL," + title + "," + content + ",NULL)"; 

Подробнее о инъекциях SQL (и других типах уязвимостей) вы можете здесь: https://www.owasp.org/index.php/SQL_Injection