Cómo utilizar * como un comodín en la consulta SQL de forma segura

Question

Necesito implementar una búsqueda donde el usuario puede ingresar * como comodín. La base de datos que están buscando es un servidor SQL. Estaba pensando sólo la sustitución de la * con un%:

userInput = userInput.replace('*', '%'); 

Me preocupa que ya estoy haciendo esto "a mano" que podría introducir algunos errores o fallos de seguridad. ¿Ves algún problema al hacerlo así? ¿Hay alguna biblioteca para hacer esto por mí?

Uso Hibernate como correlacionador ORM y API de Criteria para crear la consulta si ayuda con las respuestas.

Answer 1

Eso es exactamente lo que hacemos en nuestra empresa. Tenemos dos productos, uno que usa un simple reemplazo en el código como su ejemplo. El otro que es muy almacenado procedimiento pesado lo hace dentro del proceso de 'búsqueda' almacenado.

De cualquier manera, no hemos tenido ninguna instancia de problemas de seguridad o quejas del usuario sobre el sistema.

sólo para mostrar la disposición de procedimiento almacenado, pero probablemente redundante, ya que dijo que su uso de ORM:

CREATE PROC [dbo].[p_aaa] 
    @username nvarchar(100) = 'dbo', 
    @rows int = 0, 
    @name nvarchar(100) = '%'  
AS 

SET @name = REPLACE(@name, '*', '%') 

Answer 2

Creo que el cambio * a% no causa ningún problema, si todos los datos de esa tabla es pública basado en este valor de búsqueda. También hay similar topic que tiene más ejemplos de regexp a sql.

Esto hará que su aplicación sea más independiente que con database vendror-specific regexp matching mechanism.