使用JdbcTemplate实现Snowflake文件暂存时如何防范SQL注入？

你的现有代码直接拼接文件路径到SQL命令中，存在明显的SQL注入风险——如果fpath被传入恶意内容（比如/tmp/valid.txt; DROP TABLE critical_data; --），会导致意外执行破坏性操作。以下是几种可行的防护方案：

方案1：严格校验文件路径合法性 #

通过限制路径的字符范围，直接拒绝包含危险符号的输入，从源头阻断注入可能：

private void stageFile(String fpath){
    // 仅允许合法路径字符：字母、数字、斜杠、点、下划线、连字符
    if (!fpath.matches("[a-zA-Z0-9/._-]+")) {
        throw new IllegalArgumentException("非法文件路径，包含危险字符");
    }
    template.execute("PUT file://" + fpath + " @SnowFlakeStage AUTO_COMPRESS=FALSE");
}

注意：这种方式需要确保校验规则覆盖所有可能的注入字符，适合简单场景，但不如专用工具安全。

方案2：使用Snowflake官方SDK执行文件上传（推荐） #

Snowflake提供的Java客户端工具内置了安全的文件传输逻辑，无需手动拼接SQL命令，从根本避免注入风险：

private void stageFile(String fpath){
    try (SnowflakeConnection conn = (SnowflakeConnection) template.getDataSource().getConnection()) {
        // 创建文件传输代理，自动处理路径安全
        SnowflakeFileTransferAgent transferAgent = conn.createFileTransferAgent(
            "@SnowFlakeStage",
            new File(fpath),
            false // 对应AUTO_COMPRESS=FALSE
        );
        transferAgent.execute();
    } catch (SQLException | IOException e) {
        throw new RuntimeException("文件暂存失败", e);
    }
}

这种方式是最安全的，因为官方工具会负责路径的安全转义和验证，完全规避SQL注入风险。

方案3：用存储过程封装PUT操作 #

在Snowflake端创建存储过程，通过预编译参数传递文件路径，避免直接拼接：

第一步：创建Snowflake存储过程 #

CREATE OR REPLACE PROCEDURE stage_file(fpath VARCHAR)
RETURNS VARCHAR
LANGUAGE JAVASCRIPT
AS
$$
    // 存储过程内执行PUT命令，参数已被Snowflake安全处理
    const stmt = snowflake.createStatement({
        sqlText: `PUT file://? @SnowFlakeStage AUTO_COMPRESS=FALSE`,
        binds: [fpath]
    });
    stmt.execute();
    return "文件暂存成功";
$$;

第二步：Java代码调用存储过程 #

private void stageFile(String fpath){
    // 使用预编译参数传递路径，避免注入
    template.update("CALL stage_file(?)", fpath);
}

内容的提问来源于stack exchange，提问作者rael guimaraes