Nombres de columnas variables usando declaraciones preparadas

Question

Me preguntaba si había alguna forma de especificar los nombres de las columnas devueltas usando declaraciones preparadas.

Estoy usando MySQL y Java.

Cuando lo intento:

String columnNames="d,e,f"; //Actually from the user... 
String name = "some_table"; //From user... 
String query = "SELECT a,b,c,? FROM " + name + " WHERE d=?";//... 
stmt = conn.prepareStatement(query); 
stmt.setString(1, columnNames); 
stmt.setString(2, "x"); 

consigo este tipo de declaración (impresión justo antes de la ejecución).

SELECT a,b,c,'d,e,f' FROM some_table WHERE d='x' 

Me gustaría ver al menos:

SELECT a,b,c,d,e,f FROM some_table WHERE d='x' 

Yo sé que no puedo hacer esto para nombres de tabla, como se discutió here, pero se preguntaba si había alguna manera de hacerlo para la columna nombres.

Si no lo hay, entonces solo tendré que intentar asegurarme de que saneo la entrada para que no dé lugar a vulnerabilidades de inyección de SQL.

Answer 1

Esto indica un mal diseño de la base de datos. El usuario no debería necesitar conocer los nombres de las columnas. Cree una columna DB real que contenga esos "nombres de columna" y almacene los datos a lo largo de ella.

En cualquier caso, no, no puede establecer los nombres de las columnas como PreparedStatement. Sólo se puede establecer la columna valores comoPreparedStatement valores

Si desea continuar en esta dirección, es necesario desinfectar los nombres de columna y concatenar/construir la cadena SQL sí mismo. Cite los nombres de las columnas por separado y use String#replace() para evitar la misma cita dentro del nombre de la columna.

Answer 2

Creo que este caso no puede funcionar porque el objetivo de la declaración preparada es evitar que el usuario ingrese bits de consulta no escaneados, por lo que siempre tendrá el texto cotizado o escapado.

Deberá desinfectar esta entrada en Java si desea afectar la estructura de la consulta de forma segura.

Answer 3

Prepare una lista blanca de nombres de columna permitidos. Use la 'consulta' para buscar en la lista blanca para ver si el nombre de la columna está allí. Si no, rechace la consulta.

Answer 4

Utilice la desventaja de inyección sql de Statement Interface como ventaja. Ej:

st=conn.createStatement(); 
String columnName="name"; 
rs=st.executeQuery("select "+ columnName+" from ad_org "); 

Answer 5

A continuación se muestra la solución en java.

String strSelectString = String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName); 

Answer 6

public void MethodName(String strFieldName1, String strFieldName2, String strTableName) 
{ 
//Code to connect with database 
String strSQLQuery=String.format("select %s, %s from %s", strFieldName, strFieldName2, strTableName); 
st=conn.createStatement(); 
rs=st.executeQuery(strSQLQuery); 
//rest code 
}