Карточка Middle Инъекции: SQL, NoSQL, команды обновлено
Идентификаторы в SQL
Вопрос
Почему имя таблицы или колонки нельзя передать плейсхолдером и что делать?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Плейсхолдеры подставляют только значения, структура запроса фиксируется при разборе. Идентификаторы выбирают из allowlist и подставляют заранее известную строку.
Ответ
Плейсхолдеры подставляют только значения, структура запроса фиксируется при разборе. Идентификаторы выбирают из allowlist и подставляют заранее известную строку.
Разбор
Частое место инъекций в коде, где значения уже параметризованы: сортировка, выбор колонок, имена таблиц по месяцам.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.