使用 setParameter 进行 ebean 查询

Question

我有一个使用 Ebean Finder 对象的查询。这是一个工作版本：

public static Finder<Long, Device> find = new Finder<>(Long.class, Device.class);

.

public static Page<Device> find(int page, String sorting, String order) {

    return
            find.where()
                    .orderBy(sorting + " " + order)
                    .findPagingList(10)
                    .setFetchAhead(false)
                    .getPage(page);
}

但现在我想通过使用 setParameter 函数使其 SQLInjection 安全，我尝试了这个，但没有奏效。很高兴知道我做错了什么。

public static Page<Device> find(int page, String sorting, String order) {

    return
            find.where()
                    .orderBy(":sorting :order")
                    .setParameter("sorting", sorting)
                    .setParameter("order", order)
                    .findPagingList(10)
                    .setFetchAhead(false)
                    .getPage(page);

}

更新：

如提到的here，

“问题是您不能使用命名参数在 HQL（或 SQL）查询中设置 ORDER。”

如果为真，这会使我的代码容易受到 SQL 注入的攻击！那你有什么建议？

Answer 1

我不知道 Ebean 有多安全，但您可以看到传递给 orderBy 的字符串已被解析：OrderBy.java

如果我写了，例如：

find.where()
  .ilike("name", "%" + filter + "%")
  .orderBy("1;DROP TABLE company")
  .fetch("company")
  .findPagingList(pageSize)
  .setFetchAhead(false)
  .getPage(page);

我得到了这个例外：

[RuntimeException: Expecting a max of 2 words in [[1;DROP, TABLE, company]] but got 3]