如何使用 Java 在 PostgreSQL 中安全地转义 SQL 的任意字符串

Question

我有一个特殊情况，要求我从用户提供的输入值生成 SQL WHERE 子句的一部分。我想防止任何类型的 SQL 注入漏洞。我想出了以下代码：

private String encodeSafeSqlStrForPostgresSQL(String str) {

  //Replace all apostrophes with double apostrophes
  String safeStr = str.replace("'", "''");

  //Replace all backslashes with double backslashes
  safeStr = safeStr.replace("\\", "\\\\");

  //Replace all non-alphanumeric and punctuation characters (per ASCII only)
  safeStr = safeStr.replaceAll("[^\\p{Alnum}\\p{Punct}]", "");

  //Use PostgreSQL's special escape string modifier
  safeStr = "E'" + safeStr + "'";

  return safeStr;
}

问题：

• 您是否发现任何问题？
• 你们能提供更好的解决方案吗？
• 是否有任何现有的库可以帮助解决这个问题？

注意事项：

• 这是关于 SO 和其他地方的常见问题，但我看到的唯一答案是始终使用 PreparedStatements。 Fwiw，我正在使用 JasperReports。我想将查询保留在 JasperReports 中。用于查询参数处理的内置 Jasper 参数函数（包括 X{} 函数）不足以满足我需要参数化的内容。我可以尝试创建一个自定义 Jasper QueryExecutor，它允许我注入我自己的 X{} 函数，但这比使用 Jasper 的 $P!{} 语法生成动态 SQL where 子句更复杂。

• 我查看了OWASP libraries。他们还没有 PostgresSQL 编解码器。我查看了OracleCodec，但它的转义似乎很简单。我不确定这对防止 SQL 注入攻击有多大帮助。

• 在我的代码中，我添加了 E，以便不依赖于 PostgreSQL 的 standard_conforming_strings 设置。理想情况下，我不必添加它，然后该函数不必是 PostgreSQL 特定的。更多信息：http://www.postgresql.org/docs/9.0/static/sql-syntax-lexical.html#SQL-SYNTAX-STRINGS-ESCAPE。

理想情况下，我会想要一个更通用、更强大的解决方案，我知道它是安全的并支持所有可能的 UTF-8 字符串。

Answer 1

我在这里问了similar question，但我认为最好的办法是使用org.postgresql.core.Utils.escapeLiteral。这是一个 Postgres 库，因此使用它应该是安全的。如果/当 Postgres 添加新的字符串分隔符时，应该更新此方法。

Answer 2

最简单的方法是使用 PostgreSQL 的 Dollar Quoting 与一个小的 random 标签：

• 为每个调用计算一个小的随机标签（例如 4 个字符）（冗余）
• 查看引号标记是否是输入字符串的一部分。
• 如果是，重新计算一个新的随机标签。

• 否则像这样构建您的查询：

  $tag$inputString$tag$
  

通过这种方式，您可以避免使用不同的嵌套引用技术带来的麻烦并且您还可以使用随机标签设置移动目标。

根据您的安全要求，这可能会起作用或不起作用。 :-)