Java Spring JPA 原生查询 SQL 注入证明吗？

Question

我写这个问题是因为我没有找到任何关于如何在 Spring Data JPA 中防止 SQL 注入的有用文章。所有教程都展示了如何使用这些查询，但他们没有提到有关这些可能的攻击的任何信息。

我有以下疑问：

@Repository
public interface UserRepository extends CrudRepository<User, Integer> {

    @Query(nativeQuery = true, value = "SELECT * FROM users WHERE email LIKE %:emailAddress%")
    public ResponseList<User> getUsers(@Param("emailAddress") String emailAddress);
}

剩下的控制器来传递请求：

@RequestMapping(value = "/get-users", method = RequestMethod.POST)
public Response<StringResponse> getUsers(WebRequest request) {
    return userService.getUsers(request.getParameter("email"));
}

JPQL 或本机查询参数在执行之前是否已转义？

这是在我的 MySQL 控制台中执行的 SQL 注入查询，该查询会删除用户表：

SELECT * FROM users WHERE email LIKE '%'; DROP TABLE users; -- %';

我尝试通过向服务器发送 POST 请求来执行 SQL 攻击：

http://localhost:8080/get-users
POST: key/value: "email" : "'; DROP TABLE users; --"

我已经启用了 Hibernate 的 sql 日志记录，这就是上面的请求产生的结果：

[http-nio-8080-exec-8] DEBUG org.hibernate.SQL - SELECT * FROM users WHERE email LIKE ?
Hibernate: SELECT * FROM users WHERE email LIKE ?

[http-nio-8080-exec-8] DEBUG org.hibernate.loader.Loader - bindNamedParameters() %'; DROP TABLE users; -- % -> emailAddress [1]
[http-nio-8080-exec-8] TRACE o.h.type.descriptor.sql.BasicBinder - binding parameter [1] as [VARCHAR] - [%'; DROP TABLE users; -- %]

表格没有被删除（这很好），但是为什么参数没有被转义？

如果我不注释

@Param("emailAddress")

并且使用索引参数怎么办？:

@Query(nativeQuery = true, value = "SELECT * FROM users WHERE email LIKE ?1")
public ResponseList<User> getUsers(String email);

Answer 1

Spring Data JPA 的所有功能都使用绑定参数。很少有字符串连接发生，而且只有那些不是来自最终用户的东西。

因此 Spring Data JPA 可以安全地防止 SQL 注入。

如果我不注释 @Param("emailAddress") 并且使用索引参数怎么办？

这与您使用索引或命名参数无关。

为什么参数没有转义？

由于绑定参数值不是被解析并转换为数据库中执行计划的 SQL 语句的一部分，因此无需转义参数。事实上，这样做是错误的。

Answer 2

如果我们使用 save(user) 方法会怎样；并且危险代码将位于该对象的其中一个字段中