Nomi di colonne variabili utilizzando istruzioni preparate

Question

Mi chiedevo se fosse comunque necessario specificare i nomi di colonna restituiti utilizzando le istruzioni preparate.

Sto usando MySQL e Java.

quando provo è:

String columnNames="d,e,f"; //Actually from the user... 
String name = "some_table"; //From user... 
String query = "SELECT a,b,c,? FROM " + name + " WHERE d=?";//... 
stmt = conn.prepareStatement(query); 
stmt.setString(1, columnNames); 
stmt.setString(2, "x"); 

ricevo questo tipo di istruzione (diritto di stampa prima dell'esecuzione).

SELECT a,b,c,'d,e,f' FROM some_table WHERE d='x' 

Mi piacerebbe vedere però:

SELECT a,b,c,d,e,f FROM some_table WHERE d='x' 

So che non posso fare questo per i nomi di tabella, come discusso here, ma chiedevo se ci fosse un modo per farlo per la colonna nomi.

Se non c'è, allora dovrò solo assicurarmi di disinfettare l'input in modo che non porti a vulnerabilità di SQL injection.

Answer 1

Questo indica un design DB non valido. L'utente non dovrebbe aver bisogno di conoscere i nomi delle colonne. Crea una colonna DB reale che contiene quei "nomi di colonna" e memorizza invece i dati su di essa.

In qualsiasi modo, no, non è possibile impostare i nomi delle colonne come valori PreparedStatement. È possibile impostare solo colonna valori come PreparedStatement valori

Se vuoi continuare in questa direzione, è necessario disinfettare i nomi delle colonne e concatenare/costruire la stringa SQL da soli. Cita i nomi delle colonne separate e usa String#replace() per evitare la stessa citazione all'interno del nome della colonna.

Answer 2

Penso che questo caso non possa funzionare perché l'intero punto dell'istruzione preparata è impedire all'utente di inserire bit di query senza escape, in modo che il testo venga citato o scappato.

È necessario disinfettare questo input in Java se si desidera influenzare in modo sicuro la struttura della query.

Answer 3

Preparare una whitelist di nomi di colonne consentiti. Usa la 'query' per cercare nella whitelist per vedere se il nome della colonna è lì. In caso contrario, rifiuta la query.

Answer 4

Utilizzare lo svantaggio di SQL per l'interfaccia Statement come vantaggio. Es:

st=conn.createStatement(); 
String columnName="name"; 
rs=st.executeQuery("select "+ columnName+" from ad_org "); 

Answer 5

Di seguito è la soluzione in Java.

String strSelectString = String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName); 

Answer 6

public void MethodName(String strFieldName1, String strFieldName2, String strTableName) 
{ 
//Code to connect with database 
String strSQLQuery=String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName); 
st=conn.createStatement(); 
rs=st.executeQuery(strSQLQuery); 
//rest code 
}