在OracleSQL中需要转义哪些字符才能避免SQL注入？

Question

只想确认Oracle SQL中需要转义哪些字符才能避免SQL注入？到目前为止，我只发现这篇文章似乎回答了我的问题：https://ss64.com/ora/syntax-escape.html.然而，正如我所听说的，amphora“@”字符也需要转义，因此，我认为上面的文章中有不完整的需要转义的字符列表。如果有人能告诉我Oracle SQL中需要转义的字符的完整列表，我将不胜感激。

Answer 1

[太长别读]不要试图通过转义字符来阻止SQL注入；相反，不要使用动态SQL或通过字符串连接生成查询，而是使用正确的参数化查询。

该链接页面不是关于转义动态SQL的，而是关于处理在文本中具有特殊含义的字符（在某些情况下，它仅用于用户界面的子集）。

如果您有一个字符串文字，那么这是由字符串周围的单引号'定义的，如果您想在字符串文字中使用单引号，那么您需要通过使用第二个单引号来转义单引号。

SELECT 'The woman''s hat blew off in the wind.' FROM DUAL

在SQL*Plus用户界面中，您可以设置查询中使用的转义字符，以便匹配在文本中被视为通配符的字符：

SET ESCAPE '\';
WITH data ( value ) AS (
  SELECT 'abc%def' FROM DUAL UNION ALL
  SELECT 'abcdef'  FROM DUAL
)
SELECT * FROM data WHERE value LIKE '%\%%';

但是，您可以在查询中指定相同的内容（这在所有用户界面中都有效，而不仅仅是SQL*Plus）：

WITH data ( value ) AS (
  SELECT 'abc%def' FROM DUAL UNION ALL
  SELECT 'abcdef'  FROM DUAL
)
SELECT * FROM data WHERE value LIKE '%\%%' ESCAPE '\';

他们提到的第三件事是<代码>

这是一个有效的SQL声明：

SELECT 'A&B' FROM DUAL

但是，在SQL*中加上符号

为了避免SQL注入，Oracle SQL中需要转义哪些字符？

所有字符在SQL中都有效<代码>选择'

然而，正如我所听说的，符号“@”字符也需要转义

符号<代码>

在SQL中，at@字符不需要转义。

一般情况下：

• 不要试图转义字符以阻止SQL注入
• 不要通过串联字符串生成查询
• 使用参数化查询并将值作为绑定变量传递给它们
• 如果必须动态提供架构/表/列名，则使用DBMS\u ASSERT验证这些对象标识符（并将所有其他值作为绑定变量传递）