Wstrzyknięcie SQL w funkcjach Postgres a przygotowane zapytania

Czy w Postgres przygotowane zapytania i funkcje zdefiniowane przez użytkownika są równoważne jako mechanizm zabezpieczający przed wstrzyknięciem SQL ?
Czy są jakieś zalety jednego podejścia względem drugiego?

To zależy.

Funkcje SQL

Dzięki LANGUAGE sql, odpowiedź jest zazwyczaj tak .

Przekazane parametry są traktowane jako wartości, a wstrzyknięcie SQL nie jest możliwe - o ile nie wywołuje się niebezpiecznych funkcji z treści i nie przekazuje parametrów.

Funkcje PL / pgSQL

Dzięki LANGUAGE plpgsql, odpowiedź jest zazwyczaj tak .

Jednak PL / pgSQL pozwala na dynamiczny SQL, w którym przekazywane parametry (lub części) są łączone z ciągiem zapytania i wykonywane za pomocą EXECUTE. To może konwertować dane wprowadzone przez użytkownika do kodu SQL i sprawia, że SQL injection to możliwe . Nie można stwierdzić z zewnątrz, czy ciało funkcji odpowiednio go obsługuje. Narzędzia są dostarczane.

Używaj dynamicznego SQL tylko tam, gdzie go potrzebujesz. Proste instrukcje SQL wykorzystujące parametry jako wartości są bezpieczne przed wstrzyknięciem SQL, podobnie jak funkcje SQL.

W przypadku dynamicznego SQL najlepiej przekazać wartości jako wartości z:

• USINGklauzula. Przykład .

Uniemożliwia iniekcję SQL dla zleceniodawcy.

Jeśli konkatenujesz wartości w ciągu SQL, użyj:

• format()ze specyfikatorem formatu%L . Przykład .
• quote_literal()lubquote_nullable() . Przykład .

Bezpiecznie zawija łańcuchy w pojedyncze cudzysłowy , unikając w ten sposób błędów składniowych i wstrzykiwania SQL.

Parametry procesu, które należy traktować jako identyfikatory ciągu SQL za pomocą:

• format()ze specyfikatorem formatu%I . Przykład .
• quote_ident(). Przykład .
• oddanych do zarejestrowanego typu - regclassdla nazw tabel: _tbl::regclass. Przykład .

W razie potrzeby bezpiecznie umieszcza łańcuchy w podwójnych cudzysłowach , unikając w ten sposób błędów składniowych i wstrzykiwania SQL.

Związane z:

• Refaktoryzuj funkcję PL / pgSQL, aby zwracać dane wyjściowe różnych zapytań SELECT
• Czy zdefiniować nazwy tabel i kolumn jako argumenty w funkcji plpgsql?

Nigdy nie buduj łańcucha na podstawie danych wprowadzonych przez użytkownika i nie wykonuj go. Obejmuje to identyfikatory przekazane bezpośrednio przez użytkownika lub pobrane z katalogu systemowego. Wszystkie muszą być traktowane jak dane wejściowe użytkownika i bezpiecznie cytowane podczas budowania dynamicznego SQL!

Więcej informacji na temat wpływu na wydajność w tej pokrewnej odpowiedzi:

• Wydajność funkcji

Podstawy wstrzykiwania SQL:

• http://bobby-tables.com/

Podobne uwagi dotyczą innych języków po stronie serwera, które umożliwiają dynamiczny SQL.