Sonarqube 警告 sql 在我的 hibernate ZAC5C74B64B4B82352EF2F181AFFB5AC

Question

我的 java (Hibernate, MySql) 代碼采用輸入數據來決定我要更新哪一列，如下所示：

String hsql = "update People set " + inputColumnName + " = null";
Query query = myHibernateSession.createQuery(hsql);
query.executeUpdate();

但是，Sonarqube 說“更改此代碼以不直接從用戶控制的數據構造 SQL 查詢”。 無論如何我可以避免這個錯誤（修復這個或繞過 sonarqube 檢查而不關閉此規則）？

Answer 1

您需要將變量限制為列名並消除插入語句的可能性。 使用綁定變量會有所幫助，但請查看以下示例： https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html