如何在通用数据库查询方法中修复Veracode检测到的SQL Injection漏洞

首先明确：仅在当前fetchDB方法内净化用户输入，无法彻底修复SQL注入漏洞。原因很简单：用户输入已经在调用fetchDB之前被拼接到SQL字符串里了，此时再净化已经无法还原合法的SQL结构，而且不同场景的输入风险（比如字符串、数字、表名）需要的净化/验证逻辑完全不同，通用方法无法覆盖所有情况。

彻底修复的最优方案：改造fetchDB支持参数化查询 #

既然fetchDB是多模块共用的通用方法，应该新增重载方法，支持传入SQL模板和参数列表，用PreparedStatement执行，从根源避免动态SQL拼接。示例代码如下：

// 新增参数化查询的重载方法
public ResultSet fetchDB(String sqlTemplate, Object... params) {
    ResultSet rs = null;
    try {
        logger.info("DB connection checking");
        if (con == null || con.isClosed()) {
            con = getDBConnection();
            logger.info("DB connection established");
        }
        logger.info("Executing prepared statement");
        PreparedStatement pstmt = con.prepareStatement(sqlTemplate);
        // 绑定参数
        for (int i = 0; i < params.length; i++) {
            pstmt.setObject(i + 1, params[i]);
        }
        rs = pstmt.executeQuery();
        logger.info("DB data fetching completed");
        return rs;
    } catch (Exception e) {
        // 补充日志记录异常，避免空catch块
        logger.error("Failed to execute query", e);
        throw new RuntimeException("DB query failed", e);
    }
}

// 保留原方法但标记为废弃，引导所有调用方切换到参数化版本
@Deprecated
public ResultSet fetchDB(String sql) {
    // 可选：临时加入基础SQL注入检测，拦截明显的危险语句（仅作为过渡，不能替代参数化）
    if (containsSqlInjectionPattern(sql)) {
        throw new IllegalArgumentException("Potential SQL injection detected");
    }
    ResultSet rs = null;
    try {
        logger.info("DB connection checking");
        if (con == null || con.isClosed()) {
            con = getDBConnection();
            logger.info("DB connection established");
        }
        logger.info("Executing statement (deprecated, use parameterized version)");
        stmt = con.createStatement();
        rs = stmt.executeQuery(sql);
        logger.info("DB data fetching completed");
        return rs;
    } catch (Exception e) {
        logger.error("Failed to execute deprecated query", e);
        throw new RuntimeException("DB query failed", e);
    }
}

// 示例基础注入检测方法（仅过渡用）
private boolean containsSqlInjectionPattern(String sql) {
    String lowerSql = sql.toLowerCase();
    // 简单检测常见危险关键字，可根据业务扩展，注意避免误判
    String[] patterns = {"union", "insert", "delete", "drop", "exec", "--", ";"};
    for (String pattern : patterns) {
        if (lowerSql.contains(pattern)) {
            return true;
        }
    }
    return false;
}

关键说明 #

• 参数化查询是Veracode官方推荐的方案，能彻底避免SQL注入，因为数据库会把SQL结构和参数分开解析，不会把参数内容当作SQL指令执行。
• 原方法标记为废弃后，需要推动所有调用模块逐步切换到参数化版本，避免继续传入拼接好的动态SQL。
• 如果遇到需要动态指定表名/列名的场景（这类无法用参数化），需要在调用方实现白名单验证，只允许合法的表名/列名传入，再拼接到SQL模板中。

内容的提问来源于stack exchange，提问作者Sanket Shirsat