这是转义SQL查询参数的安全方法吗？

Question

在我的工作中，通过不安全地将参数串联到查询字符串中来形成SQL查询是一种传统。 当然，这会导致SQL注入漏洞。 这不是一个大问题，因为所有发生这种情况的Java软件都在假定所有用户都受信任的封闭网络上运行。 而且，查询是从具有数据库访问权限的客户端应用程序执行的，因此用户无论如何在技术上都可以执行恶意查询。

尽管如此，仍计划在新版本的数据库层中支持准备好的语句。 同时，我在现有数据库层之上编写了一个小库（该库仅支持从SQL String执行查询，而没有准备好的语句或参数转义的选项），该库允许通过转义字符串参数来编写安全的参数化查询。

作为该库的一部分，我编写了以下方法，以转义String文字。 我转义了与PHP的addlashes函数相同的字符，但是我尝试通过检测补充（32位）字符来避免其多字节字符漏洞：

private String escapeString(String str)
{
    List<Character> toEscape = Arrays.asList('\'', '"', '\\', '\0');

    StringBuilder result = new StringBuilder();
    for(int i = 0; i < str.length(); ++i)
    {
        char c = str.charAt(i);

        if(i < str.length() - 1 && c >= '\uD800' && c <= '\uDBFF')
        {
            char next = str.charAt(i + 1);

            if(next >= '\uDC00' && next <= '\uDFFF')
            {
                // Two-char supplementary character. Escape neither.
                result.append(c);
                result.append(next);
                ++i;
                continue;
            }
        }

        if(toEscape.contains(c))
        {
            // Special character. Add escaping \.
            result.append('\\');
        }

        // Copy character itself.
        result.append(c);
    }

    return result.toString();
}

我的问题是这种转义查询的方法是否足够安全（并且我没有监督任何事情或犯了实现错误）。 可以假设输入的String是有效的UTF-16。 将与MySQL和Oracle一起使用的DBMS。

Answer 1

如果没有ORM，准备好的语句或存储过程，我将对任何字符串SQL清理例程保持谨慎。

Answer 2

没有。

假设您有一个整数字段，他们在其中输入了PIN：

“从表WHERE PIN =中选择列=” + sanitizedstring

然后输入以下内容进行输入：1234 OR 1 = 1

现在，您的“图钉”将始终被接受，无需使用任何有趣的字符。

这也可以用于除int之外的字段（因为是的，您可以在将int输入移交给SQL之前验证int输入实际上是int）。