把字符串里面的'替换成''拼接到 SQL 里，新版主流关系数据库还会有被此字符串注入的可能吗？
xiangyuecn · xiangyuecn · 2019-08-02 17:27:15 +08:00 · 1903 次点击这是一个创建于 1944 天前的主题，其中的信息可能已经有所发展或是发生改变。
今天在写 ios 的 sqlite 数据库 CRUD （未用第三方库），找到的文章清一色的对查询参数中的字符串没有任何处理就拼到了 sql 语句里面，就直接调用了 sqlite3_prepare 函数执行。如果字符串里面出现了'字符，就算不是恶意输入的，但也会导致问题呀。Android 稍微好点，有参数化那种查询。
于是产生了这个疑问：在仅支持自己构造完整 sql 语句执行的情况下，把用户输入的一个字符串里面的'换成了''拼接到 sql 语句里面，新版、现代、主流的关系型数据库是否还有可能被这个字符串注入？
不限于后端这个重点防范的地方，前端 js、Android、ios 等能接触到数据库的地方都应该会产生此问题吧。
假设用的开发语言、数据库都是当前最新版。比如伪代码：
name=UserInput("name").replace("'","''")
sql="select * from table where name='"+name+"'"
db_exec(sql)
已经将用户输入的 name 字符串中的'替换成了''，最新版的 oracle、mysql、sql server 等数据库还有可能被用户输入的这个字符串注入的风险吗？
 |
1
Takamine 2019-08-02 17:33:14 +08:00
现在一般都先走预编译，这样简单的注入应该没什么用了。
|
 |
2
webshe11 2019-08-02 17:37:14 +08:00  1
naive，还有反斜杠呢
用户输入： someone\' or 1=1 # 替换结果： someone\'' or 1=1 # 拼接结果： select * from users where username='someone\'' or 1=1 #' 建议用编程语言提供的安全操作函数，例如 PHP 的 PDO，不要自己发明 |
 |
3
xiangyuecn OP |
|
4
xiangyuecn OP @webshe11 刚试了一下，sqlite 和 sql server 反斜杠是普通字符，在 sqllite 和 sql server 里面无需特殊处理。
|
 |
5
momocraft 2019-08-02 17:53:46 +08:00
sqlite 别管了，用户有权对自己的设备做任何事
|
|
6
xiangyuecn OP @momocraft #5 哈哈，虽然如此，但发生了发生了类似注入性质的行为时（用户正常输入、非恶意、只是碰巧输如了关键字），往往会导致程序运行错误，好端端的 app 运行着就崩溃了就不好啦😁
|
 |
7
EchoUtopia 2019-08-02 18:00:28 +08:00 1
mysql 也可以配置，是否把‘\‘当成普通字符，postgres 默认是当作普通字符
|
 |
8
azh7138m 2019-08-02 18:08:54 +08:00
prepare+bind 对 SQLite 来说就是安全的了。
php 中 execute 的时候传入参数也是安全的 https://www.php.net/manual/en/pdostatement.execute.php 。 |
 |
9
liprais 2019-08-02 18:41:32 +08:00 via iPhone
除了 prepared statement ,都是不安全的
|
 |
10
starsriver 2019-08-02 18:43:29 +08:00 via Android
建议先变成实体，然后全部转换成 utf16 扔数据库.
后台都有专门的过滤函数，不用担心。 |
Select Language