Injeksi SQL dalam fungsi Postgres vs kueri yang disiapkan

Dalam Postgres, apakah query yang disiapkan dan fungsi yang didefinisikan pengguna setara sebagai mekanisme untuk menjaga terhadap injeksi SQL ?
Apakah ada kelebihan tertentu dalam satu pendekatan dibandingkan yang lain?

Tergantung.

Fungsi SQL

Dengan LANGUAGE sql, jawabannya umumnya ya .

Parameter yang dilewati diperlakukan sebagai nilai dan SQL-injeksi tidak mungkin - selama Anda tidak memanggil fungsi yang tidak aman dari tubuh dan meneruskan parameter.

Fungsi PL / pgSQL

Dengan LANGUAGE plpgsql, jawabannya biasanya ya .

Namun , PL / pgsql memungkinkan untuk SQL dinamis di mana parameter yang dikirimkan (atau bagian) yang bersambung ke string query dan dieksekusi dengan EXECUTE. Hal ini dapat mengkonversi input pengguna untuk kode SQL dan membuat SQL injection mungkin . Anda tidak dapat mengetahui dari luar apakah fungsi tubuh menanganinya dengan benar. Alat disediakan.

Hanya gunakan SQL dinamis di mana Anda membutuhkannya. Pernyataan SQL biasa menggunakan parameter karena nilainya aman terhadap injeksi SQL seperti fungsi SQL.

Untuk SQL dinamis , sebaiknya berikan nilai sebagai nilai dengan:

• yang USINGklausa. Contoh .

Membuat injeksi SQL tidak mungkin pada prinsipal.

Jika Anda menggabungkan nilai dalam string SQL, gunakan:

• format()dengan format specifier%L . Contoh .
• quote_literal()atauquote_nullable() . Contoh .

Membungkus string dalam tanda kutip tunggal dengan aman, sehingga menghindari kesalahan sintaksis dan injeksi SQL.

Parameter proses yang harus diperlakukan sebagai pengidentifikasi dalam string SQL dengan:

• format()dengan format specifier%I . Contoh .
• quote_ident(). Contoh .
• a dilemparkan ke tipe terdaftar - regclassuntuk nama tabel: _tbl::regclass. Contoh .

Lampirkan string dalam tanda kutip ganda dengan aman jika diperlukan , sehingga menghindari kesalahan sintaksis dan injeksi SQL.

Terkait:

• Refactor fungsi PL / pgSQL untuk mengembalikan output dari berbagai query SELECT
• Tentukan nama tabel dan kolom sebagai argumen dalam fungsi plpgsql?

Jangan pernah hanya membangun string dari input pengguna dan jalankan. Ini termasuk pengidentifikasi, secara langsung dilewati oleh pengguna atau diambil dari katalog sistem. Semua harus diperlakukan seperti input pengguna dan dikutip dengan aman ketika membangun SQL dinamis!

Lebih lanjut tentang implikasi kinerja dalam jawaban terkait ini:

• Performa Fungsi

Dasar-dasar pada SQL-injection:

• http://bobby-tables.com/

Pertimbangan serupa berlaku untuk bahasa sisi server lain yang memungkinkan SQL dinamis.