Postgres fonksiyonlarında SQL enjeksiyonu ve hazırlanan sorgular

Postgres'te sorgular ve kullanıcı tanımlı fonksiyonlar SQL enjeksiyonuna karşı korunma mekanizması olarak eşdeğer olarak hazırlanır mı?
Bir yaklaşımda diğerine göre belirli avantajlar var mı?

Değişir.

SQL fonksiyonları

İle LANGUAGE sqlcevap genellikle evet .

İletilen parametreler değerler olarak kabul edilir ve SQL-enjeksiyonu mümkün değildir - güvensiz işlevleri gövdeden çağırmazsanız ve parametreler geçmezseniz.

PL / pgSQL fonksiyonları

İle LANGUAGE plpgsqlcevap normalde evet .

Bununla birlikte , PL / pgSQL, geçirilen parametrelerin (veya bölümlerin) bir sorgu dizesinde birleştirildiği ve ile yürütüldüğü dinamik SQL'e izin verir EXECUTE. Bu kullanıcı girişini SQL koduna dönüştürebilir ve SQL enjeksiyonunu mümkün kılar . Fonksiyon gövdesinin düzgünce kullanıp kullanmadığını dışarıdan söyleyemezsiniz. Araçlar verilmektedir.

Yalnızca ihtiyacınız olan yerde dinamik SQL kullanın. Parametreleri değer olarak kullanan düz SQL ifadeleri, SQL işlevlerine benzer SQL enjeksiyonuna karşı güvenlidir.

İçin dinamik SQL , tercihen geçiş değerleri ile değerleri olarak:

• USINGfıkra. Örnek .

SQL enjeksiyonunu prensipte imkansız kılar.

SQL dizesindeki değerleri birleştirirseniz , şunu kullanın:

• format()format belirteci ile%L . Örnek .
• quote_literal()veyaquote_nullable() . Örnek .

Dizeleri tek tırnak içinde güvenli bir şekilde sarar , böylece sözdizimi hatalarını ve SQL enjeksiyonunu engeller.

SQL dizesinde tanımlayıcı olarak değerlendirilecek işlem parametreleri ile:

• format()format belirteci ile%I . Örnek .
• quote_ident(). Örnek .
• Bir tescilli türüne dökme - regclasstablo adları için: _tbl::regclass. Örnek .

Dizeleri gerektiğinde güvenle çift ​​tırnak içine alır , böylece sözdizimi hatalarını ve SQL enjeksiyonunu engeller .

İlgili:

• Çeşitli SELECT sorgularının çıktısını döndürmek için bir PL / pgSQL işlevini refactor
• Tablo ve sütun adlarını bir plpgsql işlevinde argümanlar olarak tanımlayın?

Asla sadece kullanıcı girdisinden bir dize oluşturma ve çalıştırma. Bu, doğrudan kullanıcı tarafından iletilen veya bir sistem kataloğundan alınan tanımlayıcıları içerir. Tüm kullanıcı girişi gibi muamele ve dinamik SQL oluştururken güvenle teklif edilecek var!

Bu ilgili cevabın performans sonuçları hakkında daha fazla bilgi :

• İşlev Performansı

SQL enjeksiyonundaki temeller:

• http://bobby-tables.com/

Dinamik SQL'e izin veren diğer sunucu dilleri için de benzer hususlar geçerlidir .