Является ли Hibernate Criteria Api полностью защищенным от SQL Injection

Question

Я работаю с Hibernate, чтобы защитить свой сайт от SQL Injection.

Я слышал, что Hibernate Criteria API более мощный, чем HQL. Является ли Hibernate Criteria Api полностью защищенным от SQL Injection?

Answer 1

Да, это так.

Критерии API, а также параметры запроса в HQL или JPQL позволяют избежать параметров и не будут запускать вредоносный SQL.

Уязвимость существует, только если вы просто объедините параметры в свой запрос. Тогда любой вредоносный SQL становится частью вашего запроса.

EDIT OWASP имеет SQL injection prevention cheatsheet. Использование запросов критериев эквивалентно оборонному варианту 1: использование подготовленных операторов.