So verwenden Sie * als Platzhalter in SQL-Abfrage sicher

Question

Ich muss eine Suche implementieren, wo Benutzer * als Platzhalter eingeben können. Die Datenbank, die sie suchen, ist ein SQL-Server. Ich dachte, nur die * mit einem% ersetzt:

userInput = userInput.replace('*', '%'); 

Ich mache mir Sorgen, dass ich da mache die „von Hand“ Ich könnte einige Fehler oder Sicherheitslücken einzuführen. Siehst du irgendwelche Probleme dabei? Gibt es eine Bibliothek, um das für mich zu tun?

Ich verwende Hibernate als ORM-Mapper und Criteria-API, um die Abfrage zu erstellen, wenn es bei Antworten hilft.

Answer 1

Genau das machen wir in unserem Unternehmen. Wir haben zwei Produkte, eines, das einen einfachen Ersatz im Code wie Ihr Beispiel verwendet. Der andere, der sehr speicherprozedurlastig ist, macht es innerhalb der "Suche" gespeichert.

In beiden Fällen gab es keine Sicherheitslücken oder Benutzerbeschwerden über das System.

einfach das gespeicherte Prozedur Layout zu zeigen, aber wahrscheinlich überflüssig wie Sie gesagt haben Ihre Verwendung von ORM:

CREATE PROC [dbo].[p_aaa] 
    @username nvarchar(100) = 'dbo', 
    @rows int = 0, 
    @name nvarchar(100) = '%'  
AS 

SET @name = REPLACE(@name, '*', '%') 

Answer 2

Ich glaube, ändert * zu% wird keine Probleme verursachen, wenn alle Daten in dieser Tabelle ist öffentlich basierend auf diesem Suchwert. Es gibt auch similar topic, die mehr regexp zu SQL-Beispielen hat.

Dadurch wird Ihre Anwendung unabhängiger als mit database vendror-specific regexp matching mechanism.