如何解决Checkmarx检测出的二阶SQL Injection漏洞问题

你的代码中sequenceSchema从系统属性获取后直接拼接到原生SQL中，Checkmarx标记为二阶SQL注入风险，核心原因是不可信的Schema名称直接嵌入SQL语句，未做任何安全校验——虽然这里没有使用查询参数，但动态拼接的数据库标识符（Schema名）如果被恶意篡改，同样会破坏SQL结构，引发注入攻击。

针对这种无法用普通参数绑定的场景（JDBC不支持将Schema/表名作为参数），可以通过以下两种关键手段解决：

1. 白名单验证（最安全方案） #

提前定义所有合法的Schema名称，只有在白名单内的值才能被使用，直接拒绝非法输入：

public static final String SELECT_NEXTVAL_FOR = "SELECT NEXTVAL FOR ";
public static final String FROM_SYSIBM = " FROM SYSIBM.SYSDUMMY1";
public static final String CONTACT_ID_TABLE = ".CNTCT_ID";
@Autowired
EntityManager entityManager;

@Value("#{ systemProperties['sequence.schema']}")
String sequenceSchema;

// 预定义合法的Schema白名单，根据实际业务配置
private static final Set<String> VALID_SCHEMAS = Set.of("DEALER_DATA", "FCNA_CLOC");

public Integer getNextContactId() {
    // 白名单校验，非法Schema直接抛出异常
    if (!VALID_SCHEMAS.contains(sequenceSchema)) {
        throw new IllegalArgumentException("Invalid or unauthorized schema: " + sequenceSchema);
    }

    // 拼接经过校验的SQL
    Query getNextContactIdQuery = entityManager.createNativeQuery(
            SELECT_NEXTVAL_FOR + sequenceSchema + CONTACT_ID_TABLE + FROM_SYSIBM);

    return (Integer)getNextContactIdQuery.getSingleResult();
}

2. 标识符转义（辅助防御） #

如果白名单无法覆盖所有合法场景（比如Schema名称动态生成），可以针对DB2的标识符规则做转义处理：DB2中用双引号包裹标识符，若名称包含双引号，需要转义为两个双引号：

public Integer getNextContactId() {
    // 转义Schema名称，适配DB2标识符规则
    String escapedSchema = "\"" + sequenceSchema.replace("\"", "\"\"") + "\"";

    Query getNextContactIdQuery = entityManager.createNativeQuery(
            SELECT_NEXTVAL_FOR + escapedSchema + CONTACT_ID_TABLE + FROM_SYSIBM);

    return (Integer)getNextContactIdQuery.getSingleResult();
}

注意事项 #

• 优先使用白名单验证，这是防御此类注入最彻底的方式，转义仅作为补充手段。
• 尽量避免从系统属性、用户输入等不可信源获取Schema名称，优先使用配置文件中固定的合法值，减少攻击面。

内容的提问来源于stack exchange，提问作者scottyboombox