prepared statement/sql-injection preventation on変数

Question

私は、準備文がデータベースへのSQLインジェクションを避けるための良い方法だと読んでいます。 問題は顧客が静かな変数UIを望んでいることです 彼は最初にテーブルを選択し、次にいくつかの制約を列とテキストで構成します。 だから基本的には（ナイーブ）最終生成物は、次のようになります。

Select * from %TABLENAME% where %ATTRIBUTENAME% = %VALUE% 

今の質問は、これは安全な取得する方法ですか？

私は、事前にすべてのテーブルのステートメントを作成するprepareステートメントソリューションを構築することができますが、これを維持するための努力は非常に静かなので、私はかなり馬鹿げたアイデアのように聞こえます静かないくつかのテーブル）。 可能な限り一般的な安全な方法でこれをどのように解決するか考えてみましょうか？

Answer 1

あなたは、SQLインジェクションのために使用することはできませんので

select * from %TABLENAME% where %ATTRIBUTENAME% = ? 

その少なくともVALUEにあなたの例を変更する必要があります。データベースの既知のテーブルと列に対して、TABLENAMEとATTRIBUTENAMEの検証を行うことができます。

実行時に検証で使用するDatabaseMetaData.getColumns(...)を参照してください。あるいは、ビルド時に生成された静的ファイルを有効なテーブル/カラムで保持することもできます。

ビルド時にテーブル/列の組み合わせごとにEnumを生成できますか？私はjOOQは、この種のデータベーススキーマからのビルド時間のJavaコードの生成を知っている...おそらくそれは助けることができますか？

例：

public enum TableColumn { 
    CUSTOMER_NAME("customer", "name"), CUSTOMER_ID("customer", "id"), 
    ORDER_ID("order", "id"), // etc etc 

    String table; 
    String column; 

    public TableColumn(String table, String column) { 
     // set values 
    } 
} 

public List<Row> doSelect(TableColumn tc, Object value) { 
    String sql = String.format("select * from %s where %s = ?", tc.table, tc.column); 
    Connection con = getConnection(); 
    try { 
     PreparedStatement ps = con.prepareStatement(sql); 
     ps.setObject(1, value); 
     ...