在 Spring/Hibernate 设置中通常如何停止 SQL 注入

Question

我讨厌 Ruby 语言，因为它不是静态类型的，但我花在 Spring/Hibernate 上的时间越多，我就越欣赏 Ruby on Rails 的功能。特别是他们的 Active Record 模型可以防止 SQL 注入。 Spring/Hibernate 堆栈通常如何处理这个问题？其中任何一个都带有某种清理工具包，以确保您的用户输入是安全的？

如果您只是插入 DAO，那么这对插入来说并不是什么大问题，但在使用 Select 语句时这是一个主要问题。

Answer 1

当您使用 Hibernate 时，SQL 注入不应该是一个风险——只要您正确使用它。

Hibernate 查询要么用 HQL（Hibernate 的类似 SQL 的查询语言）编写，要么使用面向对象的 Criteria API 实现。

HQL是最常见也是最推荐的。通常，您会编写如下 HQL 查询：

    Subscription sub = (Subscription) sessionFactory.getCurrentSession()
        .createQuery("from Subscription sub where sub.verification = :verification")
        .setString("verification", verification)
        .uniqueResult();

在这种形式中，您可以免受 SQL 注入的影响，因为 Hibernate 将字符串作为参数传递；它不能被解释为 SQL 的一部分。

但是，如果您表现不佳，编写这样的查询...

    Subscription sub = (Subscription) sessionFactory.getCurrentSession()
        .createQuery("from Subscription sub where sub.verification = '" + verification + "'")
        .uniqueResult();

...那么您就无法免受 SQL 注入的保护。但是，您永远不应该编写这样的查询！如果您将字符串附加到查询中，我认为任何框架都不会保护您。

最后，如果您使用 Hibernate Criteria API，您将自动受到 SQL 注入的保护；因为 Hibernate 在您使用 Criteria API 时构建底层查询，所以它以防止 SQL 注入的方式构建底层查询。

Answer 2

我想你已经回答了你自己的问题 - 如果你只使用 HQL 作为最后的手段，那么这可能会消除 95% 的潜在攻击点。而且，因为您只在那些棘手的边缘情况下使用它，所以您可能会更加关注您实际在做什么。