Hibernate Criteria ApiはSQLインジェクションから完全に保護されますか

Question

私はSQL Injectionから私のウェブサイトを保護するためにHibernateと協力しています。

Hibernate Criteria APIがHQLより強力であると聞きました。 Hibernate Criteria ApiはSQLインジェクションから完全に保護されますか？

Answer 1

はい、あります。

HQLまたはJPQLのクエリパラメータと同様に、Criteria APIもパラメータをエスケープし、悪質なSQLは実行しません。

この脆弱性は、パラメータをクエリに連結するだけで公開されます。その後、悪質なSQLがクエリの一部になります。

EDIT OWASPの機能はSQL injection prevention cheatsheetです。基準クエリを使用することは、防御オプション1と同じです：準備されたステートメントの使用。