如何使用Java在PostgreSQL中安全地转义SQL的任意字符串

  • Z时代
  • 2024-01-10
  • 分类：问答

我有一个 特殊情况， 要求我根据用户提供的输入值生成SQL WHERE子句的一部分。我想防止任何形式的SQL Injection漏洞。我想出了以下代码：

private String encodeSafeSqlStrForPostgresSQL(String str) {
  //Replace all apostrophes with double apostrophes
  String safeStr = str.replace("'", "''");
  //Replace all backslashes with double backslashes
  safeStr = safeStr.replace("\\", "\\\\");
  //Replace all non-alphanumeric and punctuation characters (per ASCII only)
  safeStr = safeStr.replaceAll("[^\\p{Alnum}\\p{Punct}]", "");
  //Use PostgreSQL's special escape string modifier
  safeStr = "E'" + safeStr + "'";
  return safeStr;
}

问题：

笔记：

  • 这是SO和其他地方的常见问题，但是我看到的唯一答案是始终使用PreparedStatements。Fwiw，我正在使用JasperReports。我想将查询保留在JasperReports内部。用于查询参数处理的内置Jasper参数函数（包括X {}函数）不足以进行我需要的参数设置。我可以尝试创建一个自定义的Jasper QueryExecutor，这将允许我注入自己的X {}函数，但这比仅使用Jasper的$ P！{}语法生成动态SQL where子句要复杂得多。

  • 我看着OWASP库。他们还没有PostgresSQL编解码器。我看了看OracleCodec，它的转义看起来很简单。我不确定这对防止SQL注入攻击有很大帮助。

  • 在我的代码中，我添加了E以便不依赖于PostgreSQL的standard_conforming_strings设置。理想情况下，我不必添加该函数，而该函数不必特定于PostgreSQL。更多信息：http : //www.postgresql.org/docs/9.0/static/sql-syntax-lexical.html#SQL-SYNTAX-STRINGS-ESCAPE。

理想情况下，我希望有一个更通用，更强大的解决方案，我知道这是安全的，并且支持所有可能的UTF-8字符串。

回答：

最简单的方法是结合使用PostgreSQL的Dollar

Quoting和一个小的 随机 标记：

  • 对于每次调用，请计算一个小的随机标签（例如4个字符） （冗余）

  • 查看quote标记是否是输入字符串的一部分。

  • 如果是，请重新计算一个新的随机标签。

  • 否则，像这样构建您的查询：
    $tag$inputString$tag$

这样，您可以避免使用各种嵌套引用技术的麻烦， 还可以通过使用随机标签来设置移动目标。

根据您的安全性要求，这可能做与否。:-)

以上是 如何使用Java在PostgreSQL中安全地转义SQL的任意字符串 的全部内容， 来源链接： utcz.com/qa/403029.html

回到顶部