防止Redshift SQL注入

(鉴于Redshift中的限制,您无法以正确的方式进行操作):

在PostgreSQL上 standard_conforming_strings 设置为 on 全部的 你需要做的是双引号 ' 进入 '' 。就是这样。

除非 标准_形成_环 关闭或使用 E'' 一串如果这两种情况中的任何一种都是正确的,那么您必须执行反斜杠转义。

由于Redshift是基于一个古老的PostgreSQL版本的分支,我不知道这是如何适用于它的。阅读关于它的词汇结构和语法的文档将是明智的,以验证它与PostgreSQL的工作方式一致。

PreparedStatement ( Wikipedia )这才是真正的出路。一下子就消除了大量的工作和风险 SQL Injection 黑客。

如果你绝对不会使用 编制的报表 ,然后你需要阅读各种策略。您必须编写一系列检查来检查和修改输入和SQL。不 silver bullet (实际上, 编制的报表 是 你的银弹。但没有 另外 银色子弹。)

谷歌搜索“清理sql输入”等项目。您将找到以下资源:

• Bobby-Tables.com (它告诉您使用PreparedStatement)。
• Mitigation section 关于SQL注入的维基百科页面。
• 文章 Prevent Web Attacks Using Input Sanitization .
• 文章 How to prevent SQL injection attacks? ,这用示例解释了净化输入是不够的,并建议使用yes,你猜到了: 编制的报表 .