使用JTOpen連接到AS/400時SQL注入風險

Question

我們正在使用JTOpen連接到我們的AS/400機器，並且我正試圖解決使用此類集成時存在SQL注入漏洞的風險。

請注意，我們只使用API​​的調用程序部分 - 而不是jdbc連接。

我不是RPG程序員，也沒有任何有關如何將SQL注入代碼的風險的知識，也不知道JTOpen API是否會阻止這類攻擊。

經過一番Google搜索，我發現有一點可以在不使用存儲過程的情況下對RPGLE程序進行SQL注入。 所以我的問題是：這是否可以通過JTOpen API來完成。

是否需要以編程方式檢查所有對JTOpen API的調用中的SQL注入？

Answer 1

如果您不使用JDBC，那麼您需要檢查SQL注入的唯一原因是如果您在使用JT400的主機上調用的程序中使用動態SQL。

如果主機上運行的程序不使用動態SQL，那麼根本沒有風險。

Answer 2

我不是一個java大師，所以我只是在這裏使用僞代碼。

根據我的理解，您可以使用動態SQL，但不要將您的where語句連接在一起。

因此string = "select * from table where key = " + id是完全錯誤的。但是，您可以執行類似於以下操作：

string = "select * from table where key = @id"; 
build connection 
add parameter to assign value to @id 
execute command 

儘管使用存儲過程會更好。