java - 如何使用预准备语句修复 SQL 注入(inject)？

Question

我有一个类被 Veracode 扫描标记为 SQL 注入(inject)，即使我使用的是PreparedStatment。我无法确定问题出在哪里，或者这是否是扫描中可能出现的误报。请引用下面的代码(QueryBuffer是一个使用StringBuffer的自定义类):

List<ReferralService> list = new ArrayList<ReferralService>();
QueryBuffer sql = new QueryBuffer();
sql.addSql("SELECT rs.id FROM referral_service rs ");
sql.addSql("WHERE ");
sql.addSql("rs.closed = ? AND ");
sql.addSql("rs.workflow_id = ? ");
sql.addSql("ORDER BY submitted_on ASC limit 200");

PreparedStatement prepStmt = conn.prepareStatement(sql.toString());
prepStmt.setInt(1, 0);
prepStmt.setInt(2, liTeamID);
ResultSet rs = prepStmt.executeQuery();

Answer 1

看起来 veracode 对字符串连接不满意。

这更像是一种 SQL 注入(inject)，将来当(另一个)开发人员扩展代码并向字符串添加不好的内容(例如变量)时，可能会发生这种情况。

因此请避免使用所有这些 addSql 字符串。