使用內部SELECT查詢「消毒」任意SQL？

Question

我有一個系統，我希望人們可以用許多表對多個數據庫執行任意選擇查詢。

我可以通過簡單地將它們嵌入到子查詢中來「消毒」查詢，即SELECT * FROM ($USER_SELECT_QUERY)？

這將允許用戶做任何種類的SELECT查詢，但會在任何INSERT,UPDATE,DELETE,EXEC等查詢中產生語法錯誤。你能想出任何可以修改/插入/刪除數據的查詢，或者顯示關於主機系統的其他不想要的細節，例如目錄列表或其他任何內容嗎？

假設：

• 用戶可以訪問在所有附加的數據庫的所有數據。
• 適當配置/監視查詢時間和資源使用情況以減輕（D）DOS攻擊。
• （數據庫是在我的情況只讀sqlite的文件）

還請注意，我充分認識到讓用戶來執行任意SQL的一般危險的，所以我想強調的是我m非常具體地詢問使用select-subqueries進行消毒查詢的限制。

Answer 1

要防止大多數這些陳述，請使用authorization callback。

您還可以使用sqlite3_stmt_readonly()來防止任何寫入。

您應該確保沒有任何危險的用戶定義函數或虛擬表格，並且load_extension()或fts3_tokenizer()等功能被禁用。