Wie kann SQL Injection im Ruhezustand verhindert werden?

Question

Ich entwickle eine Anwendung mit Hibernate.Wenn ich versuche, eine Login-Seite zu erstellen, entsteht das Problem der Sql-Injektion. Ich habe den folgenden Code:

@Component 
@Transactional(propagation = Propagation.SUPPORTS) 
public class LoginInfoDAOImpl implements LoginInfoDAO{ 

@Autowired 
private SessionFactory sessionFactory;  
@Override 
public LoginInfo getLoginInfo(String userName,String password){ 
    List<LoginInfo> loginList = sessionFactory.getCurrentSession().createQuery("from LoginInfo where userName='"+userName+"' and password='"+password+"'").list(); 
    if(loginList!=null) 
     return loginList.get(0); 
    else return null; 
      } 
     } 

Wie werde ich SQL-Injection in diesem Szenario zu verhindern Die Tabelle Syntax der Logininfo Tabelle erstellen ist wie folgt:?

create table login_info 
    (user_name varchar(16) not null primary key, 
    pass_word varchar(16) not null); 

Answer 1

Query q = sessionFactory.getCurrentSession().createQuery("from LoginInfo where userName = :name"); 
q.setParameter("name", userName); 
List<LoginInfo> loginList = q.list(); 

Sie andere haben Optionen zu Sieh dieses nette article von mkyong.

Answer 2

Wir sollten immer versuchen, gespeicherte Prozeduren im Allgemeinen zu verwenden, um SQLInjection zu verhindern .. Wenn gespeicherte Prozeduren nicht möglich sind; Wir sollten es für Prepared Statements versuchen.

Answer 3

Sie müssen benannte Parameter verwenden, um SQL-Injektion zu vermeiden. Auch (nichts mit SQL-Injektion, aber mit Sicherheit im Allgemeinen) geben Sie nicht das erste Ergebnis, sondern verwenden getSingleResult, wenn es mehr als ein Ergebnis aus irgendeinem Grund gibt, wird die Abfrage mit NonUniqueResultException fehlschlagen und Login wird nicht sein

erfolgreiche

Query query= sessionFactory.getCurrentSession().createQuery("from LoginInfo where userName=:userName and password= :password"); 
query.setParameter("username", userName); 
query.setParameter("password", password); 
LoginInfo loginList = (LoginInfo)query.getSingleResult(); 

Answer 4

1. Positionsparameter in HQL

   Abfrage hqlQuery = session.createQuery ("von Orders als Aufträge, bei denen orders.id =?");

   Listenergebnisse = hqlQuery.setString (0, "123-ADB-567-QTWYTFDL"). List();

2. benannten Parameter in HQL

   Abfrage hqlQuery = session.createQuery ("von Mitarbeitern als emp wo emp.incentive>: Anreiz");

   Listenergebnisse = hqlQuery.setLong ("anreiz", new Long (10000)). List();

3. namens Parameterliste in HQL

   Listenelemente = new Arraylist(); items.add ("Buch"); items.add ("Uhr"); items.add ("Tinte");

   Ergebnisliste = session.createQuery ("aus dem Einkaufswagen als Einkaufswagen, wo cart.item in (: itemList)"). SetParameterList ("itemList", Artikel) .list();

4. JavaBean in HQL

Abfrage hqlQuery = session.createQuery ("von Büchern wie Bücher, in denen book.name =: Name und book.author =: Autor");

Liste Ergebnisse = hqlQuery.setProperties (javaBean).Liste();

5. das Native-SQL

Abfrage sqlquery = session.createSQLQuery ("select * from Books wo author =?");

Ergebnisliste = sqlQuery.setString (0, "Charles Dickens"). List();