Yay (MVC) SQL enjeksiyonundan kaçınma mı?

Question

Spring MVC'nin SQL enjeksiyonlarını (ve diğer güvenlik sorunlarını: XSS, kod [javascript] enjeksiyonu, vb.) Nasıl işlediğini merak ediyorum. Çoğunlukla DB'lere ve buna eklenen değerlerden kaçmaktan bahsediyorum. Ben herhangi bir cevap bulmak için görünmüyor çünkü her zaman ben bahar sql enjeksiyon sonuçları için bağımlılık enjeksiyon içeren ortaya çıkmaktadır.

Akışım şu şekildedir: İstemci tarayıcısından bazı sorgu parametreleri içeren bir JSON'dan (JS'de SQL sorgusunu oluşturmak için çok aptalca olan değil) oluşan bir istek yapıyorum. İstek, Denetleyicide düzgün bir şekilde açıklanmış yönteme ulaştığında, istek, "istek nesnesine" Jackson kullanarak @RequestBody ile eşleştirilir. Şimdi bu nesne, JDBC Şablonunu kullanarak db'yi (ve RowMapper kullanarak sonuçları eşlemek) kullanarak DAO'ya gönderilir.

public int countAll(RequestObject request) { 
    String sql = "SELECT count(*) FROM employees WHERE name = '" + request.getName() + "'"; 

    JdbcTemplate jdbcTemplate = new JdbcTemplate(dataSource); 
    int count = jdbcTemplate.queryForInt(sql); 

    return count; 
} 

Şimdi SQL enjeksiyonu güvenli bu yaklaşımdır: DAO

ben gibi bir şey var mı? Spring MVC'den akan JDBCTemplate tabanlı olmayan sorgular güvenli midir?

Bu konuda biraz tartışabilir miyiz? örneğin

jdbcTemplate.queryForInt(sql, args, argTypes) 

:

Answer 1

Herzaman doğru bir şekilde parametreleri geçmesi Eğer enjeksiyon saldırıları

için vunerlable olan sıralanmasıyla bir sorgu oluşturmak

 JdbcTemplate insert = new JdbcTemplate(dataSource); 
    insert.update("INSERT INTO PERSON (FIRSTNAME, LASTNAME) VALUES(?,?)", 
      new Object[] { firstName, lastName });