时间戳

首页 > 解决方案 > 二阶 SOQL SOSL 注入 SFDC

kotlin - 二阶 SOQL SOSL 注入 SFDC

问题描述

我在Checkmarx中遇到错误。

abortJob第 209 行的方法从元素XXX/classes/Monitoring.cls获取用户输入。 然后，该元素的值在没有经过适当清理或验证的情况下流经代码，并最终在第 209 行的方法中用于数据库查询。 这可能会启用 SOQL 注入攻击。select
jobAbortRemXXX/classes/Monitoring.cls

              Source                                Destination   
File          XXXX/classes/Monitoring.cls           XXXX/classes/Monitoring.cls
Line          212                                  217
Object        select                               select

public static void abortJob() //line no. 209
{
    list<CronTrigger> detailId=[select id FROM CronTrigger
                                where (CronJobDetail.Name='myJobName') AND NextFireTime = null]; //line 212
    
    if (detailId.size() > 0)
    {
        Id jobId = [SELECT Id from CronTrigger WHERE id = :detailId].get(0).Id; //and line 217 
        System.abortJob(jobId);
        Monitoring.scheduleJob();
    }
}

帮助我解决这个问题，我怎样才能通过Checkmarx审查。

谢谢

标签： kotlinsoqlcheckmarxsecure-codingsfdc

解决方案

使用 escapeSingleQuotes 方法清理 detailId 的每个元素（我建议重命名此）集合

public static void abortJob() { 
    list<CronTrigger> detailId=[select id FROM CronTrigger where (CronJobDetail.Name='myJobName' ) AND NextFireTime =null];
    Id jobId ; 
    for (CronTrigger currentCron : detailId) { 
        jobId = String.escapeSingleQuotes(currentCron.Id); 
    } 
    if (jobId !=null) { 
        System.abortJob(jobId); 
        Monitoring.scheduleJob();
    } 
}

这是有用的Salesforce 安全编码参考

您可能还想尝试这种类型的循环来处理查询结果的每个项目 https://developer.salesforce.com/docs/atlas.en-us.apexcode.meta/apexcode/langCon_apex_loops_for_SOQL.htm

推荐阅读