当前位置：文江博客话题详情

使用准备好的语句进行 SQL 注入？

发布于 2024-07-15 20:46:34 字数 259 浏览 5 评论 0原文

如果我没记错的话，我认为 Jeff 在 Stack Overflow 播客中提到了 SQL 准备语句中可能存在的弱点。我想知道他指的是哪种弱点？这可能只是不当使用，还是更险恶的事情？

据我记得，这个播客并没有深入探讨这个主题，只是顺便说一句。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

醉梦枕江山 2024-07-22 20:46:34

我认为他所说的是，当你使用Prepared Statements时，SQL Server可以缓存你的查询执行计划，因此，即使你修改执行查询上的某些参数，服务器也可能会选择错误的（可能是缓存的）执行计划那会表现得很糟糕。

他还提到了 SQL Server 2008 的一个新功能，可以强制引擎重新评估执行计划，他用这个功能来克服这种情况。

对于准备好的报表，我唯一遇到的问题就是这个。考虑以下 Java 代码：

String sql = "select * from table where name like ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, "PATTERN%");
ResultSet rs = pstmt.executeQuery();

在这里，您可能期望，如果表（名称）上有索引，查询计划将使用它。嗯，不会的。因为 PraparedStatement 必须预编译并预期最坏的情况：例如“%PATTERN%”。所以，它不会优化。我花了一段时间才弄清楚这个问题。它导致我的数据库受到影响。：（

希望能帮助到你。

I think what he said was that, when you use Prepared Statements, SQL server could cache your query execution plan, so, even if you modify some of the parameters on the executing query, the server could pick the wrong (probably cached) execution plan that would perform very badly.

He also mentioned a new feature of SQL Server 2008 to force the engine to re-evaluate execution plans that he used to overcome this situation.

With Prepared Statements, the only issue I have is this. Consider the following Java Code:

String sql = "select * from table where name like ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, "PATTERN%");
ResultSet rs = pstmt.executeQuery();

Here you would expect that, if you have an index on table(name) it will be used by the query plan. Well, it won't. Because PraparedStatement must precompile and expect the worst: '%PATTERN%', for example. So, it won't optimize. It took me a while to figure this one out. It was causing my database to suffer. :(

Hope it helps.

回复收藏 0 原文