java - Order By 之后的 SQL 注入(inject)

Question

我正在研究 SQL 注入(inject)修复。我修改了 DAO 层以参数化我的标准(准备好的语句)。屏幕上有一个网格，可以对数据进行排序。我在“Order by xyz”之后的问题是，是否会有任何 SQL 注入(inject)。请注意:“xyz”是由 UI 发送的。

For Example
        Normal : Select employeeNumber, employeeName from employee order by employeeNumber
        Injection : Select employeeNumber, employeeName from employee order by employeeNumber;
                                                          delete from employee

At the DAO layer I am using Spring, Hibernate

Do I need to handle the ";" while setting dynamic Order By in query.

简而言之:如何处理动态 Order by 子句的 SQL 注入(inject)。

Answer 1

如果您需要按条件动态更改顺序，那么 JPA Criteria API with type-safe Metamodel是你最好的 friend 。