变量未在 bash 脚本的双引号中扩展

Question

我有一个 bash 脚本，我试图在其中调用一个以变量值作为输入的 curl。尝试执行 bash 脚本时，变量值没有在双引号中展开。

变量扩展后脚本中的预期卷曲应该如下：

/usr/bin/curl -s -vvvv http://hmvddrsvr:8044/query/service -u iamusr:pssd -d 'statement=DELETE FROM `test_bucket` WHERE type = "Metadata" AND market = "ES" AND status = "active" AND meta(test_bucket).id="fgsd34sff334" '

在调试模式下观察时执行如下：

/usr/bin/curl -s -vvvv http://hmvddrsvr:8044/query/service -u iamusr:pssd -d 'statement=DELETE FROM `test_bucket` WHERE type = "Metadata" AND market = "ES" AND status = "active" AND meta(test_bucket).id=\""$idp_sub"\" '

我的 bash 脚本如下：

#!/bin/bash

idp_sub=""


for idp_sub in $(cat /opt/SP/jboss/home/mayur/es_idp_sub.txt)

do

/usr/bin/curl -s -vvvv http://hmvddrsvr:8044/query/service -u iamusr:pssd -d 'statement=DELETE FROM `test_bucket` WHERE type = "Metadata" AND market = "ES" AND status = "active" AND meta(test_bucket).id=\""$idp_sub"\" ' -o  /opt/SP/jboss/home/mayur/es_delete_response.txt


done

如何在双引号内扩展变量值，如上所示的预期输出？

Answer 1

你的双引号字符串在单引号内，不会被扩展。

比较：

foo=bar
echo 'foo=\""$foo\"'
echo 'foo="'"$foo"'"'

在第二个示例中，我们结束单引号，并用双引号 $foo，然后为最后的 ' 开始新的单引号。

如果我们改为使用printf 扩展可能更容易阅读：

printf 'foo=%s\n' "$foo"

这是您可能希望作为进程替换运行的东西。

但是...

这是构造SQL查询的错误和危险方式（而且网络服务器也很差，如果它转发任意查询 - 我希望它没有写数据的权限）。阅读“SQL 命令注入”并在了解问题后返回此代码。

Answer 2

单引号内的任何内容都不会被 bash 扩展，包括任何双引号和变量名。好消息是您可以结束单引号部分并立即开始一个双引号部分来引入变量，并且它将全部连接成应用程序的单个参数（curl）。试试：

/usr/bin/curl -s -vvvv http://hmvddrsvr:8044/query/service -u iamusr:pssd -d 'statement=DELETE FROM `test_bucket` WHERE type = "Metadata" AND market = "ES" AND status = "active" AND meta(test_bucket).id=\"'"$idp_sub"'\" ' -o  /opt/SP/jboss/home/mayur/es_delete_response.txt

您可以通过拒绝任何包含双引号的字符串来使您的代码具有很强的防注入性，但您可能会拒绝一些已合法转义的字符串。

如果你可以使用 q 语法来引用字符串，你可以让它更防注入，但我猜攻击者只需注入]"：

/usr/bin/curl -s -vvvv http://hmvddrsvr:8044/query/service -u iamusr:pssd -d 'statement=DELETE FROM `test_bucket` WHERE type = "Metadata" AND market = "ES" AND status = "active" AND meta(test_bucket).id=q\"['"$idp_sub"]'\" ' -o  /opt/SP/jboss/home/mayur/es_delete_response.txt

然后您可以搜索并拒绝模式字符串]" 作为您的反注入，这将允许更广泛的合法字符串类别。您必须告诉用户您已将 q[] 引用应用于他们的输入，因此他们不必这样做。