Làm thế nào để an toàn thoát chuỗi tùy ý cho SQL trong PostgreSQL bằng cách sử dụng Java

Question

Tôi có một trường hợp đặc biệt yêu cầu tôi tạo một phần của mệnh đề WHERE của SQL từ giá trị đầu vào do người dùng cung cấp. Tôi muốn ngăn chặn bất kỳ loại lỗ hổng SQL Injection nào. Tôi đã đi lên với đoạn mã sau:

private String encodeSafeSqlStrForPostgresSQL(String str) { 

    //Replace all apostrophes with double apostrophes 
    String safeStr = str.replace("'", "''"); 

    //Replace all backslashes with double backslashes 
    safeStr = safeStr.replace("\\", "\\\\"); 

    //Replace all non-alphanumeric and punctuation characters (per ASCII only) 
    safeStr = safeStr.replaceAll("[^\\p{Alnum}\\p{Punct}]", ""); 

    //Use PostgreSQL's special escape string modifier 
    safeStr = "E'" + safeStr + "'"; 

    return safeStr; 
} 

Câu hỏi:

• Bạn có thấy bất kỳ vấn đề?
• Bạn có thể cung cấp giải pháp tốt hơn không?
• Có thư viện nào để trợ giúp việc này không?

Ghi chú:

• Đây là câu hỏi phổ biến trên SO và các nơi khác, nhưng câu trả lời duy nhất mà tôi đã nhìn thấy là luôn luôn sử dụng PreparedStatements. Fwiw, tôi đang sử dụng JasperReports. Tôi muốn giữ truy vấn bên trong JasperReports. Hàm tham số Jasper tích hợp để xử lý tham số truy vấn (bao gồm các hàm X {}) không đủ cho những gì tôi cần để tham số. Tôi có thể thử tạo một Jasper QueryExecutor tùy chỉnh cho phép tôi chèn các hàm X {} của riêng mình, nhưng điều đó phức tạp hơn là chỉ tạo ra một mệnh đề SQL động với cú pháp $ P! {} Của Jasper.

• Tôi đã xem OWASP libraries. Họ chưa có codec PostgresSQL. Tôi nhìn vào OracleCodec mặc dù và thoát của nó có vẻ đơn giản. Tôi không chắc chắn nó sẽ giúp ích nhiều trong việc ngăn chặn các cuộc tấn công SQL injection.

• Trong mã của tôi, tôi đang thêm E để không phụ thuộc vào cài đặt standard_conforming_strings của PostgreSQL. Lý tưởng nhất là tôi sẽ không phải thêm nó và sau đó chức năng sẽ không phải là PostgreSQL cụ thể. Thông tin thêm: http://www.postgresql.org/docs/9.0/static/sql-syntax-lexical.html#SQL-SYNTAX-STRINGS-ESCAPE.

Lý tưởng nhất tôi sẽ thích một giải pháp chung và mạnh mẽ hơn mà tôi biết sẽ an toàn và hỗ trợ tất cả các chuỗi UTF-8 có thể.

Answer 1

Cách đơn giản nhất nhất là nên sử dụng PostgreSQL của Dollar Quoting trong sự kết hợp với một nhỏ ngẫu nhiên tag:

• Đối với mỗi invocation tính toán một, thẻ ngẫu nhiên nhỏ (ví dụ 4 ký tự) (dư thừa)
• Xem liệu thẻ trích dẫn có phải là một phần của chuỗi đầu vào hay không.
• Nếu có, hãy tính lại một thẻ ngẫu nhiên mới.

• Nếu không xây dựng truy vấn của bạn như thế này:

  $tag$inputString$tag$ 
  

Bằng cách này bạn thoát khỏi toàn bộ rắc rối khác nhau kỹ thuật trích dẫn lồng nhau và bạn cũng thiết lập một mục tiêu di động bằng cách sử dụng một thẻ ngẫu nhiên.

Tùy thuộc vào yêu cầu bảo mật của bạn, điều này có thể thực hiện công việc hay không. :-)

Answer 2

Tôi đã hỏi similar question ở đây, nhưng tôi nghĩ rằng điều tốt nhất cần làm là sử dụng org.postgresql.core.Utils.escapeLiteral. Đây là thư viện Postgres nên việc sử dụng thư viện phải an toàn. Nếu/khi Postgres thêm các dấu phân tách chuỗi mới, phương thức này sẽ được cập nhật.