SAP SAVE_TEXT功能模塊是一個安全的不受SQL注入？

Question

我有一個關於abap功能模塊SAVE_TEXT問題。我認爲有可能創建自定義tdobject和tdid，那麼longtextes將被存儲在表STXH, STX L. SAVE_TEXT針對SQL注入攻擊有多安全？它是否因爲以RAW格式對文本進行編碼而不易受到攻擊？

Answer 1

你的第一個假設要麼迷失在翻譯或錯誤擺在首位 - 的TDOBJECT和TDID有效值手動維護使用交易SE75，通常是由應用程序開發人員。它們不是作爲日常應用程序處理的一部分而創建的。

至於數據庫的訪問而言，有兩種安全級別，以防止SQL注入，但一個不被設計成爲一個安全級別：

1. 文本的內容存儲在作爲字節字符串序列化的內部表單。無論原始文本中是否存在SQL命令，都無法通過此轉換完成。

2. 的DML命令通過使用與一套固定的正在執行的語句只有當與值提供的變量準備語句通常的數據庫接口層傳遞。據我所見，沒有動態SQL語句用於修改STX*文本。

對於正常的業務應用程序，這應該足夠安全。如果你想運行一座核電站，那麼 - 我們不得不說話。