Làm thế nào để tránh "Security - Một tuyên bố chuẩn bị được tạo ra từ một String nonconstant" FindBugs Warning

Question

tôi đang làm việc trên một dự án mà có một đoạn mã như hình dưới đây:

String sql = "SELECT MAX(" + columnName + ") FROM " + tableName;     
PreparedStatement ps = connection.prepareStatement(sql); 

Có cách nào mà Tôi có thể thay đổi mã này để FindBugs ngừng cung cấp cho tôi một cảnh báo "An ninh - Một tuyên bố chuẩn bị được tạo ra từ một chuỗi không liên quan" là ?

Hãy giả sử rằng mã này an toàn liên quan đến SQL INJECTION vì tôi có thể kiểm soát ở nơi khác trong mã có thể là giá trị cho "tableName" và "columnName" (chúng không đến trực tiếp từ đầu vào của người dùng).

Answer 1

Không ghép nối sql Chuỗi bởi +. Bạn có thể sử dụng

String sql = String.format("SELECT MAX(%s) FROM %s ", columnName, tableName); 

Đây là chậm hơn so với ghép chuỗi để bạn nên khởi tạo static thì đây không phải là vấn đề.

Tôi nghĩ sử dụng StringBuilder cũng sẽ khắc phục cảnh báo này.

Một cách khác bạn có thể tránh cảnh báo này là thêm @SuppressWarnings("SQL_PREPARED_STATEMENT_GENERATED_FROM_NONCONSTANT_STRING") phía trên chuỗi đó (hoặc phương pháp/hoặc lớp học).

Bạn cũng có thể sử dụng Filter File để xác định các quy tắc cần được loại trừ.

Answer 2

Hãy thử sử dụng sau đây ...

private static final String SQL = "SELECT MAX(%s) FROM %s"; 

Và sau đó sử dụng một String.format() gọi khi bạn sử dụng nó ...

PreparedStatement ps = connection.prepareStatement(String.format(sql,columnName,tableName)); 

Nếu điều đó không giải quyết được vấn đề , bạn luôn có thể bỏ qua kiểm tra đó; tắt nó đi trong cấu hình FindBugs của bạn.

Nếu điều đó không hoạt động (hoặc không phải là một tùy chọn), một số IDE (như IntelliJ) cũng sẽ cho phép bạn chặn cảnh báo bằng chú thích hoặc chú thích được định dạng đặc biệt.

Answer 3

Cả String.format lẫn StringBuilder (hoặc StringBuffer) đều không hỗ trợ tôi.

Giải pháp là "prepareStatement" cách ly:

private PreparedStatement prepareStatement(Connection conn, String sql) throws SQLException { 
    return conn.prepareStatement(sql); 
} 

Answer 4

private static final String SQL = "SELECT MAX(?) FROM ?"; 
PreparedStatement ps = connection.prepareStatement(sql); 
ps.preparedStatement.setInt(1,columnName); 
ps.preparedStatement.setString(2,tableName); 

nếu bạn đang sử dụng tuyên bố chuẩn bị, sau đó trong tham số phải là một chuỗi thức và các thông số nên được bổ sung sau sử dụng setInt, setString phương pháp.

điều này sẽ giải quyết cảnh báo tìm kiếm.

Answer 5

Nếu bạn chắc chắn rằng không có khả năng của SQL injection, sử dụng SuppressFBWarnings chú thích về phương pháp:

@edu.umd.cs.findbugs.annotations.SuppressFBWarnings("SQL_PREPARED_STATEMENT_GENERATED_FROM_NONCONSTANT_STRING") 

Answer 6

Có thể sử dụng nối để tạo ra chuỗi của bạn. Làm như vậy không gây ra cảnh báo Bảo mật.Và thích hợp hơn vì lợi ích của sự rõ ràng khi xử lý các câu lệnh SQL dài sẽ được chia nhỏ hơn trên nhiều dòng

Sử dụng các biến để tạo chuỗi là nguyên nhân gây ra cảnh báo bảo mật.

Điều này sẽ gây ra cảnh báo:

String columnName = getName(); 
String tableName = getTableName(); 
final String sql = "SELECT MAX(" + columnName + ") FROM " + tableName; 
PreparedStatement ps = connection.prepareStatement(sql); 

này sẽ không không làm việc:

String columnName = getName(); 
String tableName = getTableName(); 
final String sql = "SELECT MAX(" + "?" + ")" + 
        "FROM " + "?"; 
PreparedStatement ps = connection.prepareStatement(sql); 
ps.setString(1, columnName); 
ps.setString(2, tableName); 

Nó không làm việc vì chuẩn bị phát biểu chỉ cho phép các thông số bị ràng buộc cho "giá trị" bit của Câu lệnh sql.

Đây là giải pháp mà làm việc:

private static final boolean USE_TEST_TABLE = true; 
private static final boolean USE_RESTRICTED_COL = true; 
private static final String TEST_TABLE = "CLIENT_TEST"; 
private static final String PROD_TABLE = "CLIENT"; 
private static final String RESTRICTED_COL ="AGE_COLLATED"; 
private static final String UNRESTRICTED_COL ="AGE"; 

.................... 

final String sql = "SELECT MAX(" + 
     (USE_RESTRICTED_COL ? RESTRICTED_COL : UNRESTRICTED_COL) + ")" + 
     "FROM " + 
     (USE_TEST_TABLE ? TEST_TABLE : PROD_TABLE); 
PreparedStatement ps = connectComun.prepareStatement(sql); 

Nhưng nó chỉ hoạt động nếu bạn phải lựa chọn giữa hai bảng có tên được biết tại thời gian biên dịch. Bạn có thể sử dụng các toán tử bậc ba phức tạp cho hơn 2 trường hợp nhưng sau đó nó trở thành không thể đọc được.

Trường hợp đầu tiên có thể là vấn đề bảo mật nếu getName() hoặc getTableName() lấy tên từ các nguồn không đáng tin cậy.

Có thể xây dựng một câu lệnh SQL an toàn sử dụng các biến nếu các biến đó đã được xác minh trước đó. Đây là trường hợp của bạn, nhưng FindBugs không thể tìm ra. Findbugs không thể biết được những nguồn nào đáng tin cậy hay không.

Nhưng nếu bạn phải sử dụng tên cột hoặc bảng từ người dùng hoặc đầu vào không tin cậy thì không có cách nào xung quanh nó. Bạn phải xác minh chính mình chuỗi đó và bỏ qua cảnh báo Findbugs với bất kỳ phương pháp nào được đề xuất trong các câu trả lời khác.

Kết luận: Không có giải pháp hoàn hảo cho trường hợp chung của câu hỏi này.