32、构建可靠解决方案：避免 SQL 注入与时间戳增强

构建可靠解决方案：避免 SQL 注入与时间戳增强

1. SQL 注入问题解析

SQL 注入是一种通过用户输入扩展原始 SQL 语句代码的技术。用户不提供所需的值，而是提供可执行的 SQL 代码，这可能导致访问通常不可用（隐藏）的数据、进行未经授权的值更改或删除个别对象，严重损害系统的安全性、健壮性和正确性。

在处理日期和时间时，SQL 注入问题可能源于将字符串隐式转换为日期或时间戳值。解决方法与绑定变量有关，绑定变量不能包含额外的条件或查询。

例如，以下代码使用DBMS_ASSERT.ENQUOTE_LITERAL函数时会引发异常：

select DBMS_ASSERT.ENQUOTE_LITERAL('''1'' union select 1 from dual') from dual; -- 会引发 ORA - 06502 异常

DBMS_ASSERT包由 SYS 用户拥有，Enquote_Literal函数通常用于代码扩展检测，也可用于识别由日期和时间值分隔的可疑代码。

为了检测和避免 SQL 注入，可以考虑以下问题：
1. 检查已开发应用程序中的 SQL 注入风险，尤其关注日期和时间的隐式转换。可以通过使用绑定变量来更新解决方案以消除风险。
2. 对于以下查询：

select name, surname from personal_data join em