这是一种安全的转义SQL查询参数的方法吗？

Question

在我的工作中，传统的做法是不安全地将参数连接到查询字符串中来形成SQL查询。当然，这会导致SQL注入漏洞。这并不被认为是一个大问题，因为发生这种情况的所有Java软件都运行在封闭的网络上，所有用户都被认为是可信的。此外，查询是从具有数据库访问权限的客户端应用程序执行的，因此从技术上讲，用户无论如何都可以执行恶意查询。

尽管如此，它计划在数据库层的新版本中支持准备好的语句。同时，我在现有的数据库层上编写了一个小库（它只支持从SQL字符串执行查询，没有准备好的语句或参数转义选项），它允许通过转义字符串参数来编写安全的参数化查询。

private String escapeString(String str)
{
    List<Character> toEscape = Arrays.asList('\'', '"', '\\', '\0');

    StringBuilder result = new StringBuilder();
    for(int i = 0; i < str.length(); ++i)
    {
        char c = str.charAt(i);

        if(i < str.length() - 1 && c >= '\uD800' && c <= '\uDBFF')
        {
            char next = str.charAt(i + 1);

            if(next >= '\uDC00' && next <= '\uDFFF')
            {
                // Two-char supplementary character. Escape neither.
                result.append(c);
                result.append(next);
                ++i;
                continue;
            }
        }

        if(toEscape.contains(c))
        {
            // Special character. Add escaping \.
            result.append('\\');
        }

        // Copy character itself.
        result.append(c);
    }

    return result.toString();
}

Answer 1

如果没有ORM、准备好的语句或存储过程，我会对任何字符串SQL净化例程保持谨慎。