Исходное сообщение
"Уязвимость, позволяющая осуществить подстановку SQL-кода в G..." Отправлено Алексей Морозов, 08-Янв-17 18:37
Оставлять проверку входных данных на прикладного программиста — изощренный способ сделать себе больно в неожиданный момент. Кто-нибудь обязательно облажается, не подумает обо всех corner cases, а ревьюверы кода не заметят, будут заняты другими делами и вообще, режим "давай-давай-быстрее!" никто не отменял. SQL-стейтменты должны формироваться автоматом. Простой, хотя и не гибкий и не всегда применимый способ — prepared statements. Более сложный — DSL, который позволит создавать запросы из кубиков и переиспользовать какие-то стандартные заготовки в разных местах, без опасности того, что злые люди пропихнут injection. Из публично доступных библиотек, реализующих такой DSL, мне известен http://www.querydsl.com/ , хотя мы внутри пользуемся некоторым собственным велосипедом для C++ и Java.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Оставлять проверку входных данных на прикладного программиста — изощренный способ > сделать себе больно в неожиданный момент. Кто-нибудь обязательно облажается, не подумает > обо всех corner cases, а ревьюверы кода не заметят, будут заняты > другими делами и вообще, режим "давай-давай-быстрее!" никто не отменял. > SQL-стейтменты должны формироваться автоматом. Простой, хотя и не гибкий и не всегда > применимый способ — prepared statements. Более сложный — DSL, который позволит > создавать запросы из кубиков и переиспользовать какие-то стандартные заготовки в разных > местах, без опасности того, что злые люди пропихнут injection. Из публично > доступных библиотек, реализующих такой DSL, мне известен http://www.querydsl.com/ , хотя > мы внутри пользуемся некоторым собственным велосипедом для C++ и Java.
	Введите код, изображенный на картинке: