sql - 制作 criteria.add(Restrictions.sqlRestriction()) sql 注入(inject)证明

Question

各位，

我正在 hibernate 3 中构建一个标准，如下所示。这是 sql 注入(inject)证明吗？

criteria
    .add(
         Restrictions.sqlRestriction(
            "to_char(createDate,'mm/dd/yyyy') like '%" + dateString + "%'"),
         StandardBasicTypes.STRING);

我考虑的另一个选择是将 dateString 转换为日期并转换为这个

criteria.add(Restrictions.eq(createDate, dateObjCreatedFromString)

Answer 1

不，这不是 SQL 注入(inject)证明，因为您使用的是普通字符串操作来构建限制。以下是如何正确执行此操作(假设您必须使用 sqlRestriction 来解决此问题):

criteria
    .add(
         Restrictions.sqlRestriction(
            "to_char(createDate,'mm/dd/yyyy') like ?", 
            "%" + dateString + "%", StandardBasicTypes.STRING));