Grails/GORM/Hibernate應用程序不是SQL轉義輸入數據

Question

我們基於Grails/GORM的應用程序不是SQL轉義的字符串輸入，我基本上可以直接在數據庫上存儲任何字符。

同時大家都說GORM/Hibernate自動處理轉義輸入。

是否有一些配置選項或已知禁用自動轉義的插件組合？

Answer 1

該問題錯誤地假定在將數據插入數據庫之前應該發生SQL轉義。在構建SQL查詢和綁定參數值時，取而代之的是GORM /休眠escapes data，這就是它如何防止SQL injection attacks。