当语句具有动态表名时，如何防止SQL注入？

Question

   final PreparedStatement stmt = connection
                .prepareStatement("delete from " + fullTableName
                    + " where name= ?");
   stmt.setString(1, addressName);

fulltableName的计算类似于：

 public String getFullTableName(final String table) {
    if (this.schemaDB != null) {
        return this.schemaDB + "." + table;
    }
    return table;
 }

这里的schemadb是环境的名称（可以随时间改变），table是表名（将固定）。

schemadb的值来自xml文件，该文件使得查询容易受到SQL注入的攻击。

有没有人可以建议我，有什么可能的方法来处理这件事？

注意：我们将来可以迁移到DB2，因此该解决方案应该与Oracle和DB2兼容（如果可能的话，应该与数据库无关）。

Answer 1

不幸的是，JDBC不允许您将表名作为语句中的绑定变量。（这是有其原因的）。

所以你可以不写，或者实现这种功能：

connection.prepareStatement("SELECT * FROM ? where id=?", "TUSERS", 123);

并将tuser绑定到语句的表名。

1）用代码一次性地创建所有有效语句。

Map<String, String> statementByTableName = new HashMap<>();
statementByTableName.put("table_1", "DELETE FROM table_1 where name= ?");
statementByTableName.put("table_2", "DELETE FROM table_2 where name= ?");

如果需要，可以使用select*from all_tables；语句使创建本身动态化。all_tables将返回SQL用户有权访问的所有表，您还可以从中获取表名和模式名。

2）选择映射中的语句

String unsafeUserContent = ...
String safeStatement = statementByTableName.get(usafeUserContent);
conn.prepareStatement(safeStatement, name);

select * FROM 
    (select schema_name || '.' || table_name as fullName FROM all_tables)
WHERE fullName = ?

这是一种介于1和2之间的混合。创建一个名为“TABLES_ALLOWED_FOR_DELETION”的表，然后静态地填充所有适合删除的表。

则使验证步骤为

conn.prepareStatement(SELECT safe_table_name FROM TABLES_ALLOWED_FOR_DELETION WHERE table_name = ?", unsafeDynamicString);

如果有结果，则执行safe_table_name。为了额外的安全，这个表不应该是标准应用程序用户可写的。