jpa - JPA 中可能存在 SQL 注入(inject)攻击吗？

Question

我正在使用 Java EE 6 和 JSF-2.0 构建 Java Web 应用程序，并对所有数据库操作使用持久性 API。

后端是 MySQL，但我在 EJB-QL 中使用了 EntityManager 函数和命名查询来执行所有操作。在这种情况下是否可能发生 SQL 注入(inject)攻击？

Answer 1

只有在 SQL/JPQL 字符串中内联用户控制的变量时才有可能，如下所示:

String sql = "SELECT u FROM User u WHERE id=" + id;

如果您不这样做并且仅使用参数化/命名查询，那么您是安全的。