java - createNativequery 中的 sql 注入

Question

String qstr = "select * from users where user_type=?1 offset ?2 limit ?3"
Query query = entityManager.createNativeQuery(qstr, User.class);
query.setParameter(1, type);
query.setParameter(2, offset);
query.setParameter(3, limit);

这里类型、偏移量和限制是用户输入。

Sonarcube 在 createNativeQuery 中展示了 sql 注入。谁能说防止sql注入的解决方案是什么？

标签： javasqlpostgresqlspring-bootsql-injection

Answer 1

当分配您的类型为“1 and 1 = 1”时会导致 sql 注入