VeraCode误报含动态数据库名的预编译语句存在SQL注入风险求助

问题背景 #

项目要访问SQL Server上几百个表结构完全一致的数据库，执行的查询语句是这样的：

select * 
from {0}.dbo.tableA 
where fieldA = ?

{0}会在创建Prepared Statement之前替换成服务器扫描出来的数据库名——完全没有用户输入的途径，但VeraCode还是判定这段代码有SQL注入风险。试过用connection.setCatalog()切换数据库、给数据库名做校验，结果都没通过检测。

VeraCode的判定逻辑为啥会这样 #

像VeraCode这种静态代码扫描工具，是靠匹配代码模式来判断风险的，不管你实际运行时的数据源安不安全：

• 它只要识别到SQL语句里有字符串拼接/自定义占位符替换的操作，哪怕这个占位符的内容是服务器自己扫出来的、不是用户输入的，只要没用JDBC标准的?参数占位符，就会直接标成注入风险。
• 用connection.setCatalog()的时候，工具可能没把这个操作和后续的SQL语句关联起来，或者它的规则只盯着SQL字符串本身有没有动态拼接，不管连接上下文的配置变化。
• 要是你不用动态数据库名，或者只留?参数占位符，符合它认定的“安全写法”，自然就不会报错。

能解决的办法 #

• 给工具标记安全数据源：如果VeraCode支持自定义规则或者标记误判，直接把生成数据库名的扫描逻辑标成安全数据源，让工具跳过这个拼接点的检测。
• 用存储过程封装查询：写一个接受数据库名和fieldA参数的存储过程，在存储过程里先通过系统视图校验数据库名的合法性，再执行查询。Java代码只调用这个存储过程传参数，SQL语句完全固定，工具就不会揪着不放了。
• 加明确注释+白名单校验：先通过DatabaseMetaData拿到合法的数据库名列表，把拼接后的SQL过一遍白名单校验，然后在代码里加注释说明数据库名是服务器扫描来的、无用户输入，部分扫描工具会识别这类注释，降低风险等级。

内容的提问来源于stack exchange，提问作者Justin