postgresql - pl/pgsql vs prepared statements 对抗 sql 注入(inject)攻击

Question

我在准备语句方面有更多经验，我知道它们非常适合抵御 SQL 注入(inject)攻击。

我想知道 pl/pgsql 的 format/USING 和 quote_literal/quote_nullable 是否同样有效，因为准备好的语句也有一些漏洞(检查here 和 here )。

那么，pl/pgsql 的安全性是否与准备好的语句处于同一级别？我应该考虑自己的安全并使用 format/USING/quote_literal/quote_nullable 还是我必须做更多事情才能更安全？

Answer 1

在 PL/pgSQL 中使用 USING 的

EXECUTE 可以 100% 安全地避免 SQL 注入(inject)。您引用的示例不相关。

只有正确地引用才安全。这就是为什么它不如使用参数。

使用 USING 的带占位符的语句被作为准备语句处理，并且提供给 USING 的参数成为准备语句的参数。参数中的文本从不作为 SQL 语句的一部分进行解析，因此 SQL 注入(inject)是不可能的。