0

Veracode 静态扫描报告指出了我的 Content Provider 实现中的 SQL 注入缺陷。

以前，我发布了这个问题，与我对这个缺陷的所有疑问有关。

经过几次讨论后，我得出结论，报告中可能存在误报。因为根据我研究和阅读的内容，我遵循了 Android文档和其他参考资料中提到的安全指南，以避免 SQL 注入。

到处都有建议对传递给 SQL 查询的数据执行至少一些输入验证。我想涵盖这种可能性，这是缺陷的原因。每个人都要求我在传递给查询之前清理数据。如何准确清理传递给 selectionArgs 数组的变量，这些变量传递给 Content Provider 的 delete()、update() 方法？

DatabaseUtils.sqlEscapeString()就足够了吗？请建议！

这是我需要清理变量的实现：

 public Loader<Cursor> onCreateLoader(int id, Bundle b) {
    switch (id) {
        case THOUGHT_LOADER:
            return new CursorLoader(getActivity(), NewsFeedTable.CONTENT_URI, NewsFeedTable.PROJECTION, NewsFeedTable._id + "=?", new String[]{tid}, null);
        case COMMENT_LOADER:
            return new CursorLoader(getActivity(), CommentTable.CONTENT_URI, CommentTable.PROJECTION, CommentTable.COLUMN_TID + "=?", new String[]{tid}, null);
        default:
            return null;
    }
}

报告指出了该缺陷：此行中 SQL 命令中使用的特殊元素的不当中和（“SQL 注入”）（CWEID 89）

删除 = db.delete(BulletinTable.TABLE_NAME, selection, selectionArgs); 在下面的代码中：

 @Override
public int delete(Uri uri, String selection, String[] selectionArgs) {
    if (uri.equals(Contract.BASE_CONTENT_URI)) {
        deleteDatabase();
        return 1;
    }

    SQLiteDatabase db = openHelper.getWritableDatabase();

    int deleted = 0;
    switch (matcher.match(uri)) {
        case BULLETIN:
            deleted = db.delete(BulletinTable.TABLE_NAME, selection, selectionArgs);
            break;
        case CLASSROOMS:
            deleted = db.delete(ClassroomsTable.TABLE_NAME, selection, selectionArgs);
            break;
        default:
            throw new IllegalArgumentException("Unsupported URI: " + uri);
    }

    if (deleted > 0) {
        getContext().getContentResolver().notifyChange(uri, null);
    }

    return deleted;
}
4

1 回答 1

2

数组中的值selectionArgs永远不需要清理，因为它们不能被解释为 SQL 命令（这就是具有单独参数值的全部意义）。

的目的sqlEscapeString()是格式化字符串，以便可以将其放入 SQL 命令中（即，转义单引号；所有其他字符在 SQL 字符串中没有意义）。但是当你知道有一个字符串时，你应该selectionArgs改为，所以这个函数没有帮助。

您只需要清理以 SQL 命令本身结尾的字符串。在这种情况下，这将是selection。如果此值来自用户或其他应用程序，那么您无法控制 DELETE 语句实际执行的操作（它可以调用 SQL 函数，或执行访问数据库其他部分的子查询）。

出于实际目的，不可能清理旨在包含 SQL 命令的字符串，因为这样您就需要一个完整的 SQL 解析器。如果您的内容提供程序可用于外部代码，您应该只允许通过 URI 删除特定项目，并且不允许使用 custom selection。

于 2017-01-05T17:26:51.913 回答