preparedStatementはSQLインジェクションを回避しますか？

Question

私はアプリケーションに脆弱なSQLクエリを読み込んで試しました。十分安全ではありません。私は単に、データベースのバリデーションやその他の挿入操作にStatement Connectionを使用しています。

preparedStatementsは安全ですか？また、この声明にも問題はありますか？

Answer 1

任意の入力からクエリを構築するために文字列連結を使用すると、PreparedStatementは安全になりません。この例を見てみましょう：

preparedStatement = "SELECT * FROM users WHERE name = '" + userName + "';"; 

を誰かがuserNameとして

' or '1'='1 

を置く場合は、あなたのPreparedStatementそのクエリが

SELECT * FROM users WHERE name = '' OR '1'='1'; 

としてデータベース上で実行されるため、SQLインジェクションの脆弱性になります

したがって、使用する場合は

preparedStatement = "SELECT * FROM users WHERE name = ?"; 
preparedStatement.setString(1, userName); 

あなたは安全です。

this Wikipedia articleから取得したコードの一部です。

Answer 2

プリペアドステートメントを正しく使用すると、SQLインジェクションから保護されます。しかし、あなたの質問にコードサンプルを投稿してください。そうすれば、あなたがそれを適切に使用しているかどうかを知ることができます。

Answer 3

よく、単にPreparedStatementを使用しても安全にはなりません。 SQLクエリでは、PreparedStatementで可能なパラメータを使用する必要があります。詳細についてはhereをご覧ください。

Answer 4

this articleで説明したように、PreparedStatementだけでも、文字列を連結している場合は役に立ちません。例えば

、1回の不正な攻撃者はまだ次の操作を行うことができます。すべてのデータベース接続がビジー状態になるように、したがって、DBから機密データを抽出

アプリケーションが利用できなくなって、

• コールスリープ機能を
• bypassing the user authentication

は、そして、それが影響を受けることができ、BだけSQLではありません。バインドパラメータを使用していない場合でも、JPQLさえ危うくなります。

ボトムラインの場合、SQL文を作成するときには文字列連結を使用しないでください。その目的のために、専用のAPIを使用してください：

• JPA Criteria API
• jOOQ