使用 SPARQL 查询时，如何保护运行 Sesame Triplestore 的系统免受注入？

Question

标题说明了一切。 是否有与 SQL 的预处理语句等效的东西？

Answer 1

（假设您使用的是最新版本的 RDF4J，而不是 Sesame）

为了防止由于注入导致的漏洞，一个简单的方法是使用准备好的查询，并使用Query#setBinding将实际的用户输入值注入到您的查询中。 例如：

// some input keyword to inject
String keyword = "foobar";

TupleQuery query = con.prepareTupleQuery(
       "PREFIX ex: <htt://example.org/> " 
     + "SELECT ?document WHERE { ?document ex:keyword ?keyword . }");

// inject the input keyword
query.setBinding("keyword", factory.createLiteral(keyword));

// execute the query
TupleQueryResult result = query.evaluate();

对于更高级的控制，RDF4J 还有一个SparqlBuilder ，一个流利的 API 用于在 Java 中创建 SPARQL 查询，用于此目的。 例如：

String keyword = "foobar";

Prefix ex = SparqlBuilder.prefix("ex", Rdf.iri("http://example.org/"));
Variable document = SparqlBuilder.var("document");

SelectQuery query = Queries.SELECT().prefix(ex).select(document)
        .where(GraphPatterns.tp(document, ex.iri("keyword"), Rdf.literalOf(keyword));