Come devo disinfettare l'input del database in Java?

Question

Qualcuno potrebbe indicarmi una buona guida per principianti sull'esecuzione in sicurezza di query SQL formate in parte dall'input dell'utente? Sto usando Java, ma una guida neutra per la lingua va bene.

il comportamento desiderato è che se qualcuno nel qualcosa di simile GUI

very nice;) DROP TABLE FOO;

La banca dati dovrebbe trattarlo come una stringa letterale e conservarlo in modo sicuro senza far cadere tutte le tabelle.

Answer 1

Si desidera assolutamente utilizzare PreparedStatement s. Sono convenienti. Ecco un example.

Answer 2

Uso PreparedStatement invece di Statement

Answer 3

Normalmente, non si deve creare una query concatenazione di ingresso, ma utilizzando invece PreparedStatement.

Ciò consente di specificare in quali posti si impostano i parametri all'interno della query, quindi Java si prenderà cura di disinfettare tutti gli input per voi.

Answer 4

PreparedStatement? Si assolutamente. Ma penso che ci sia un altro passo: la convalida dell'input dall'interfaccia utente e il binding agli oggetti prima di avvicinarsi al database.

posso vedere dove l'associazione di una stringa in PreparedStatement potrebbe ancora lasciare vulnerabile ad un attacco SQL injection:

String userInput = "Bob; DELETE FROM FOO"; 
String query = "SELECT * FROM FOO WHERE NAME = ?"; 

PreparedStatement ps = connection.prepareStatement(query); 
ps.setString(1, userInput); 
ps.executeQuery(); 

ho devo ammettere che non ho provato io stesso, ma se questo è in modalità remota possibile direi che PreparedStatement è necessario ma non sufficiente. La convalida e il binding sul lato server è la chiave.

Suggerirei di farlo con l'API di binding di Spring.

Answer 5

Il vostro input dell'utente sarebbe in realtà dovuto essere "Bob'; delete from foo; select '" (o qualcosa di simile) in modo che le citazioni implicite aggiunti dal dichiarazione preparata sarebbe stato chiuso:

SELECT * FROM FOO WHERE NAME = 'Bob'; delete from foo; select '' 

ma se lo fate che il codice dichiarazione preparata citerà il tuo preventivo in modo da ottenere una query effettiva di

SELECT * FROM FOO WHERE NAME = 'Bob''; delete from foo; select ''' 

e il tuo nome sarebbe stato archiviato come "Bob', delete from foo; select '" invece di eseguire più query.