Comment paramétrer au mieux les clauses IN dans JDBC pour empêcher l'injection SQL ?

Bonnes pratiques pour les clauses IN paramétrées dans JDBC

Contexte :

Les requêtes SQL paramétrées sont essentielles pour prévenir les attaques par injection SQL et améliorer l'efficacité du code. Lorsque vous travaillez avec des clauses IN, une tâche courante consiste à transmettre plusieurs valeurs en tant que paramètres. Cette question explore les meilleures pratiques pour y parvenir sur différentes plates-formes de bases de données utilisant JDBC en Java.

Réponse :

Malheureusement, JDBC ne fournit pas de moyen de paramétrer directement la clause IN. Cependant, certains pilotes JDBC peuvent prendre en charge l'utilisation de PreparedStatement#setArray() à cette fin. Cependant, cette prise en charge est spécifique à la base de données.

Pour contourner cette limitation, il est recommandé d'utiliser une fonction d'assistance personnalisée qui utilise String#join() et Collections#nCopies() pour générer les espaces réservés requis pour la clause IN. De plus, vous pouvez utiliser une fonction d'assistance pour définir la valeur dans une boucle à l'aide de PreparedStatement#setObject().

Exemple de code :

Voici un exemple de code montrant comment utiliser ces fonctions d'assistance :

<code class="language-java">public static String preparePlaceHolders(int length) {
    return String.join(",", Collections.nCopies(length, "?"));
}

public static void setValues(PreparedStatement preparedStatement, Object... values) throws SQLException {
    for (int i = 0; i < values.length; i++) {
        preparedStatement.setObject(i + 1, values[i]);
    }
}</code>

Ce code peut être intégré dans une méthode qui utilise une clause IN paramétrée :

<code class="language-java">private static final String SQL_FIND = "SELECT id, name, value FROM entity WHERE id IN (%s)";

public List<entity> find(Set<Long> ids) throws SQLException {
    List<entity> entities = new ArrayList<>();
    String sql = String.format(SQL_FIND, preparePlaceHolders(ids.size()));

    try (
        Connection connection = dataSource.getConnection();
        PreparedStatement statement = connection.prepareStatement(sql);
    ) {
        setValues(statement, ids.toArray());

        try (ResultSet resultSet = statement.executeQuery()) {
            while (resultSet.next()) {
                entities.add(map(resultSet)); // 假设map方法已定义
            }
        }
    }

    return entities;
}</code>

Remarque : Certaines bases de données ont des limites sur le nombre de valeurs autorisées dans une clause IN. Par exemple, Oracle a une limite de 1 000 projets.

En utilisant ces fonctions d'assistance, vous pouvez paramétrer en toute sécurité et efficacement les clauses IN dans JDBC, évitant ainsi les vulnérabilités d'injection SQL et garantissant la portabilité du code. N'oubliez pas que les méthodes map(resultSet) doivent être implémentées de manière appropriée en fonction de votre classe entity.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!