无法使用OWASP减轻SQL注入。ESAPI-Veracode

Question

我正在对我的Java代码执行veracode扫描，它在我的一个DAO类中抛出了以下错误

SQL命令中使用的特殊元素的不正确中和（“SQL注入”）CWE ID 89

然而，我试图使用OWASP来减轻这种情况。ESAPI库，因为我不能使用参数化的输入来构造我的查询，因为我使用的是字符串生成器。以下是我正在尝试的示例代码

private static String getPhoneDataSql(QuerySearchType type, PhoneQueryParams queryParams){      
    StringBuilder sql = new StringBuilder("select * from users where ");
    List<String> sqls = new ArrayList<String>();

    if(StringUtils.isNotBlank(queryParams.getUserId())){
        sqls.add("USER_ID like ".concat(type.format(encodeSQLInput(queryParams.getUserId()))));
    }
    if(StringUtils.isNotBlank(queryParams.getUserName())){
        sqls.add(UNAME_LIKE.concat(type.format(encodeSQLInput(queryParams.getUserName()))));
    }
    if(StringUtils.isNotBlank(queryParams.getCompany())){
        sqls.add("STR_COMPANY like ".concat(type.format(encodeSQLInput(queryParams.getCompany()))));
    }   

    boolean firstAnd = false;
    for(String s : sqls){
        sql.append(firstAnd ? STR_SQL_LIKE : "").append(s);
        firstAnd = true;
    }
    return sql.toString();
}

private static String encodeSQLInput(String sqlInput){  
    Codec ORACLE_CODEC = new OracleCodec();
    if(sqlInput == null) {
        return "NULL";
    }   
    sqlInput = ESAPI.encoder().encodeForSQL( ORACLE_CODEC, sqlInput);
    return sqlInput;
}

有人能帮忙吗？

Answer 1

如果像Veracode这样的SQL注入扫描器发现你用应用程序变量的字符串连接来构建SQL查询，它们通常会抱怨。它们无法判断您是否已经正确地对应用程序变量中的内容进行了转义以使其安全。

最好避免字符串连接，因为它很容易出错并意外允许SQL注入漏洞。

请改用查询参数。不要连接字符串，而是留下一个占位符，如< code >？中，并将变量绑定到语句。

文档中有很多示例：https://docs.oracle.com/javase/tutorial/jdbc/basics/prepared.html