防止 Grails 标准查询中的 SQL 注入

Question

我有一个标准查询，它使用用户输入的一些params，例如：

def query = MyTable.createCriteria()
def myQueryResult = query.list() {
   if (params.minToInvestMin)
                ge('minimalToInvest', params.minToInvestMin.toBigDecimal())
   if (params.minToInvestMax)
                le('minimalToInvest', params.minToInvestMax.toBigDecimal())
}

我已经阅读了有关该主题的 Grails 文档以及其他一些文章，但它只谈到了避免 SQL 的 HQL 方法注射。

criteria 是否在后台使用 HQL？ 或者更直接地说，这种类型的条件查询对 SQL 注入安全吗？

我对安全问题相当陌生。

Answer 1

是的，您示例中的条件语句可以安全地注入。

Criteria 语句只是 Hibernate 的 Criteria API 的便捷构建器，因此，您用它构造的任何查询都具有相同的行为。