关于改进此 postgres function 创建别名然后将其作为 json 返回的任何提示。将列标题翻译成不同的语言

Question

给定一个表，然后是另一个包含翻译的“元数据”表。 function 查找翻译，然后构建别名语句。 注射安全吗？

https://dbfiddle.uk/JQ6AnBVx

Answer 1

这在几个领域有 SQL 次注入——它们是否可利用将取决于哪些信息可以通过信任边界传递（传递给不受信任的用户/程序）。

例如，在您的translate_column function 中，所有参数（语言 ID 除外）都可用于 SQL 注入。 如果其中任何一个可以（或将来可能）来自不受信任的来源，那么这很容易受到攻击。

同样，如果您的alias_text或translated_column可以由不受信任的用户控制，则f_get_table_with_alias很容易受到攻击。 这包括允许将未经验证的数据插入到您的测试表中。

有两种方法可以安全地执行此操作——理想情况下，您应该同时使用这两种方法：

• 当您的用户创建用于表（或任何数据库对象）的名称时，您可能应该限制名称使用“安全”字符集（字母数字和破折号，下划线...）
• 您应该引用表名/列名 - 在对象周围添加双引号。 如果这样做，您需要小心验证名称中没有引号，并错误或转义引号。 您还需要注意，添加引号会使名称区分大小写。