使用 JTOpen 连接到 AS/400 时存在 SQL 注入风险

Question

我们正在使用 JTOpen 连接到我们的 AS/400 机器，我正在尝试解决使用这种类型的集成时存在 SQL 注入漏洞的风险。

请注意，我们仅使用 API 的调用程序部分 - 而不是 jdbc 连接。

我不是 RPG 程序员，不了解将 SQL 注入到代码中的风险有多大，也不知道 JTOpen API 是否可以阻止此类攻击。

经过一番谷歌搜索后我发现，当 RPGLE 程序不使用存储过程时，可以对它们进行 SQL 注入。 所以我的问题是：这是否也可以通过 JTOpen api 来完成。

我们是否需要以编程方式检查对 JTOpen API 的所有调用中的 SQL 注入？

Answer 1

如果您不使用 JDBC，则需要检查 SQL 注入的唯一原因是您是否在使用 JT400 的主机上调用的程序中使用动态 SQL。

如果主机上运行的程序不使用动态SQL，那么就完全没有风险。

Answer 2

我不是 Java 专家，所以我在这里只使用伪代码。

根据我的理解，您可以使用动态 SQL，但不要将 where 语句连接在一起。

所以 string = "select * from table where key = " + id 是完全错误的。但是，您可以执行类似的操作，

string = "select * from table where key = @id";
build connection
add parameter to assign value to @id
execute command

但更好的选择是使用存储过程。