时间戳

首页 > 解决方案 > 使用 PMD 进行 SQL 注入

java - 使用 PMD 进行 SQL 注入

问题描述

我遇到了FindBugs无法在我的项目中检测到SQL 注入的情况。该项目包含多个带有 gradle 的 repo。有什么方法可以在PMD的帮助下识别？或者，如果您有任何选择，请建议我。

标签： javasecuritysql-injectionfindbugspmd

解决方案

就这样我们都在同一个页面上：

像 PMD 这样的工具不可能找到所有的 SQL 注入错误。

工具可以发现一些明显错误的模式，但是您不会得到超出您可以手动执行的帮助，只需在所有代码库（使用 grep 或 IDE）中搜索包含“SELECT”、“INSERT”和“UPDATE”的字符串和确保它们不是使用串联构建的。

PMD 之类的价值不在于智力，而恰恰相反：他们愚蠢、狭隘的固执和坚持“以防万一”避免某些模式。

推荐阅读