postgresql - SQL注入(inject)和Postgres "CREATE SCHEMA"

Question

在 postgres 中使用 CREATE SCHEMA schema_name 时，如果需要用户输入，如何防止 SQL 注入(inject) schema_name 参数？

schema_name 不能是带引号的值，因此例如 ActiveRecord::Base.sanitize() 将不起作用。 (如果您使用导轨)。

Answer 1

我知道这可能不是您正在寻找的答案，但如果您的设计让用户决定您的架构名称，但您不信任您的用户，那么您确实需要重新设计。让您的用户决定模式名称类似于要求用户决定类和函数名称。

如果您真的非常想这样做，我会使用正则表达式限制为仅 16 个字母数字字符，以字母字符开头，在强制小写后 (/^[a-z][a-z0- 9]{1,15}$/)。您还需要明确过滤掉“public”作为架构名称、information_schema(如果您还允许使用下划线)和其他内置架构名称。

再一次，我愿意打赌你真的不想这样做，而且有更好的方法来解决你的根本问题。