objective-c - FMDB避免sql注入(inject)

Question

我正在开发一个基于原始 sqlite 的项目，并且我已将其更改为 FMDB。

所有查询都是参数化的。

这是一个这样的例子:

 NSString* sqlQuery = [NSString stringWithFormat:@"SELECT COUNT(*) FROM Contacts WHERE FirstName='%@' AND LastName='%@'", fName,lName];

我将它传递给我的助手类:

 NSInteger count = [[[DB sharedManager] executeSQL:sqlQuery] integerValue];

助手类:

- (NSString*)executeSQL:(NSString *)sql
{
    __block     NSString *resultString = @"";
    [_secureQueue inDatabase:^(FMDatabase *db) {
        FMResultSet *results = [db executeQuery:sql];
        while([results next]) {
            resultString= [results stringForColumnIndex:0];
        }
    }];
    return resultString;
}

我可以做一个解决方法，例如:

    sql = @"SELECT COUNT(*) FROM Contacts WHERE FirstName=? AND LastName=?"
    [db executeQuery:sql,firstParam, secondParam]

但我不想更改辅助方法，我需要将更改/更新的 sql 查询传递给我的辅助方法。

我该如何改变这个:

NSString* sqlQuery = [NSString stringWithFormat:@"SELECT COUNT(*) FROM Contacts WHERE FirstName='%@' AND LastName='%@'", fName,lName];

类似于:

NSString* sqlQuery = [NSString stringWithFormat:@"SELECT COUNT(*) FROM Contacts WHERE FirstName=? AND LastName=?", fName,lName];

Answer 1

如果您想避免 SQL 注入(inject)问题，那么您绝不能使用 stringWithFormat 构建查询。 .您必须正确地将变量绑定(bind)到查询中。时期。讨论完毕。

所以你别无选择，只能改变你的助手。让它接受两个参数而不是一个。第一个是正确使用 ? 的查询。第二个是绑定(bind)到查询中但辅助方法的值数组。