javax.persistence.EntityManager SQL 注入

Question

在你看到的这个方法中，我根据pincode或voen从oracle数据库中的程序接收数据。

@Override
public List<BaseClass> getCustomerInfo(String pinCode, String voen) throws SQLException, JsonProcessingException {
    List<BaseClass> customerInfos = new ArrayList<>();
    Query q = em.createNativeQuery("select CUST_INFO_COURT.GET_CUSTOMER_INFO('" + pinCode + "','" + voen + "') from dual");
    List objectArray = q.getResultList();
    for (Object object : objectArray) {
        if (object != null) {
            Clob clob = (Clob) object;
            String arrayJsonData = clob.getSubString(1, (int) clob.length());

            final ObjectMapper objectMapper = new ObjectMapper();

            CustomerInfo[] langs = objectMapper.readValue(arrayJsonData, CustomerInfo[].class);
            List<CustomerInfo> langList = new ArrayList(Arrays.asList(langs));

            for (CustomerInfo customerInfo : langList) {

                customerInfos.add(customerInfo);

            }
            return customerInfos;
        }
    }
    return new ArrayList<>();
}

但是有个问题。问题是我可以根据pin码接收数据，但是当我用voen搜索时，我无法获取值。当我根据密码搜索时，我的查询是这样的。

Hibernate: 
    select
        CUST_INFO_COURT.GET_CUSTOMER_INFO('',
        'null') 
    from
        dual

输出中的数据如下：

[
  {
    "full_name": "",
    "doc_sr": "",
    "doc_id": "",
    "customer_id": ,
    "pin_code": "",
    "voen": "",
    "position": null
  }
]

当我根据voene搜索时，它做同样的事情。

Hibernate: 
    select
        CUST_INFO_COURT.GET_CUSTOMER_INFO('null',
        '') 
    from
        dual

输出中的数据如下：

[]

我认为有一个问题是 SQL 注入。我正在考虑使用 setParameter() 方法以这种方式发送参数，但我不知道如何将其应用于此代码。

Answer 1

您可以使用这样的参数：

 Query q = em.createNativeQuery(
        "select CUST_INFO_COURT.GET_CUSTOMER_INFO(?,?) from dual");
 q.setParameter(1, pinCode);
 q.setParameter(2, voen);

javax.persistence.EntityManager SQL 注入

javax.persistence.EntityManager SQL INJECTION

java

oracle

sql-injection

response