如何使用Java在PostgreSQL中安全地转义SQL的任意字符串

Question

我有一个 特殊情况， 要求我根据用户提供的输入值生成SQL WHERE子句的一部分。我想防止任何形式的SQL Injection漏洞。我想出了以下代码：

private String encodeSafeSqlStrForPostgresSQL(String str) {

  //Replace all apostrophes with double apostrophes
  String safeStr = str.replace("'", "''");

  //Replace all backslashes with double backslashes
  safeStr = safeStr.replace("\\", "\\\\");

  //Replace all non-alphanumeric and punctuation characters (per ASCII only)
  safeStr = safeStr.replaceAll("[^\\p{Alnum}\\p{Punct}]", "");

  //Use PostgreSQL's special escape string modifier
  safeStr = "E'" + safeStr + "'";

  return safeStr;
}

问题：

• 看到任何问题吗？
• 您能提供更好的解决方案吗？
• 是否有现有的库可以帮助您解决此问题？

笔记：

• 这是SO和其他地方的常见问题，但是我看到的唯一答案是始终使用PreparedStatements。Fwiw，我正在使用JasperReports。我想将查询保留在JasperReports内部。用于查询参数处理的内置Jasper参数函数（包括X {}函数）不足以进行我需要的参数设置。我可以尝试创建一个自定义的Jasper QueryExecutor，这将允许我注入自己的X {}函数，但这比仅使用Jasper的$ P！{}语法生成动态SQL where子句要复杂得多。

• 我看着OWASP库。他们还没有PostgresSQL编解码器。我看了看OracleCodec，它的转义看起来很简单。我不确定这对防止SQL注入攻击有很大帮助。

• 在我的代码中，我添加了E以便不依赖于PostgreSQL的standard_conforming_strings设置。理想情况下，我不必添加该函数，而该函数不必特定于PostgreSQL。更多信息：http : //www.postgresql.org/docs/9.0/static/sql-syntax-lexical.html#SQL-SYNTAX-STRINGS-ESCAPE。

理想情况下，我希望有一个更通用，更强大的解决方案，我知道这是安全的，并且支持所有可能的UTF-8字符串。

Answer 1

最简单的方法是结合使用PostgreSQL的Dollar
Quoting
和一个小的 随机 标记：

• 对于每次调用，请计算一个小的随机标签（例如4个字符） （冗余）
• 查看quote标记是否是输入字符串的一部分。
• 如果是，请重新计算一个新的随机标签。
• 否则，像这样构建您的查询：

  $tag$inputString$tag$
  

这样，您可以避免使用各种嵌套引用技术的麻烦， 并且 还可以通过使用随机标签来设置移动目标。

根据您的安全性要求，这可能做与否。:-)