outil pour détecter sql non-paramétré dans java code jdbc

Question

Je cherche à inspecter les instructions SQL dans le code Java/jdbc pour s'assurer que le SQL à exécuter est de qualité acceptable. Ni PMD, ni Findbugs ne semble avoir de règles JDBC ou sql. Je pourrais utiliser p6spy pour enregistrer le SQL et regarder de cette façon, mais c'est manuel. Je me demande si la stratégie de l'utilisation de PMD/Findbugs/etc pour créer une règle que toute chaîne passée à PreparedStatement où il y a un "=" ou "in" a seulement vars paramétrés sur le côté de la comparaison.

Quelqu'un at-il fait cela? Ou fait cela par d'autres moyens?

Answer 1

Ceci est un problème délicat. Les opérateurs de comparaison comme = et IN() sont quelques cas, mais il y a aussi: != <> < <= > >= LIKE. Comment repérer des cas d'interpolation de variables d'application en tant que littéraux dans des expressions?

Comment repérer des cas d'interpolation de variables d'application en tant que littéraux dans des expressions?

String sql = "SELECT *, " + someJavaVar + " AS constant_column FROM mytable"; 

Vous pouvez rechercher délimiteurs de chaîne contenant SQL, mais l'injection SQL ne vient pas seulement de interpoler littéraux de chaîne.

Comment repéreriez-vous des cas d'interpolation de variables d'application autres que des valeurs de données? Je ne connais aucun moyen automatique de détecter les failles d'injection SQL. L'examen du code est un moyen plus efficace de les repérer. Dans chaque instruction SQL qui contient des variables d'application interpolées, vous devez confirmer que les variables d'application sont "sécurisées" et que votre application les a explicitement validées ou transformées afin qu'elles ne contiennent pas de données utiles dangereuses.

Answer 2

Avez-vous la possibilité de tester complètement l'application avec un débogueur connecté?

Définissez un point d'arrêt dans l'implémentation Connection.createStatement() de votre pilote JDBC et exécutez l'application ... (ou si vous utilisez un pilote pour lequel vous n'avez pas de code source, écrivez un pilote faux qui ne fait que déléguer des appels à la vraie, et consigner toutes les instances de createStatement())