Sto costruendo un'applicazione Web Java utilizzando Java EE 6 e JSF-2.0, utilizzando l'API di persistenza per tutte le operazioni del database.Gli attacchi di SQL injection sono possibili in JPA?
Il back-end è MySQL, ma per tutte le operazioni sono state utilizzate le funzioni EntityManager e Query denominate in EJB-QL. In questo caso sono possibili attacchi di SQL injection?
E 'possibile solo se si sta inlining variabili controllate dall'utente in un/string JPQL SQL in questo modo:
String sql = "SELECT u FROM User u WHERE id=" + id;
Se non si sta facendo questo e utilizza parametrizzati/query denominate solo, allora si sei al sicuro.
Sì, è possibile. Dipende dal modo in cui si implementa.
Dai uno sguardo a Preventing injection in JPA query language.
Se il proprio provider JPA elabora tutti gli argomenti di input per gestire gli attacchi di iniezione, si dovrebbe essere coperti. Facciamo thin in EclipseLink.
Poiché il poster precedente menzionava il raggruppamento del proprio JPQL o SQL (per le query native) potrebbe esporlo.
Si consiglia di utilizzare query denominate con parametri sulla concatenazione di stringhe per creare JPQL/SQL.
Doug
Se si utilizza 'em.persist (utente);' dove 'utente' è compilato dall'utente err,? –
Risposta a quello sarebbe? ... – user435421