使用 NamedParameterJdbcTemplate 会阻止 SQL 注入吗？

Question

我有以下方法使用NamedParameterJdbcTemplate 在 Spring Boot 中执行 SQL 查询：

@Service
class MyRepository(
  val jdbcTemplate: NamedParameterJdbcTemplate
) {
  fun loadData(myKey: List<Int>): List<MyRow> {

    return jdbcTemplate.query(
      """
                select
                    io.KEY as itemKey,
                    art.ARTICLE_NR as articleNumber,
                    art.PRICE as price,   
                    concat(
                      concat(
                        concat(art.BEST_B, BEST_A), 
                          lpad(BEST_B, 2, '0')), 
                            lpad(BEST_A, 2, '0')) as group
                from
                    BUY.OPTION io
                    INNER JOIN BUYING.ART art ON (to_char(art.id) = io.keyb)
                where
                    io.KEY IN (:MYKEY)
      """.trimIndent(),
      parameters
    ) { rs, rowNum ->
      MyRow(
        itemOption = ItemOption(rs.getString("ITEMOPTION")),
        articleNumber = rs.getString("ARTICLENUMBER"),
        price = rs.getBigDecimal("PRICE")
        group = rs.getString("GROUP")
      )
    }
  }
}

由于使用 NamedParameterJdbcTemplate，此方法是否已经针对 SQL 注入进行了保护？还是我必须为此做一些额外的步骤？

Answer 1

在NamedParameterJdbcTemplate 中使用参数将使用带参数的JDBC 准备语句，这通常会保护您免受SQL 注入。

我说的是“一般”，因为实际的保护取决于所使用的特定 JDBC 驱动程序的实现。主流 JDBC 驱动程序将 - 排除任何错误 - 保护您免受 SQL 注入，因为它们要么将语句和参数值分开（语句是使用参数占位符准备的，并且在执行时只发送值），要么在生成实际查询（即 MySQL Connector/J 驱动程序中的默认行为）。然而，没有什么能阻止人们编写一个简单的 JDBC 驱动程序，该驱动程序将使用字符串插值来生成查询，而不会实际阻止 SQL 注入。