SQL-инъекция в функции Postgres против подготовленных запросов

В Postgres подготовленные запросы и пользовательские функции эквивалентны как механизм защиты от внедрения SQL ?
Есть ли конкретные преимущества в одном подходе по сравнению с другим?

Это зависит.

Функции SQL

С LANGUAGE sqlответом, как правило, да .

Переданные параметры обрабатываются как значения, и внедрение SQL невозможно, если вы не вызываете небезопасные функции из тела и не передаете параметры.

PL / pgSQL функции

С LANGUAGE plpgsqlответом, как правило, да .

Однако PL / pgSQL допускает динамический SQL, где переданные параметры (или части) объединяются в строку запроса и выполняются с помощью EXECUTE. Это может преобразовать пользовательский ввод в код SQL и сделать возможным внедрение SQL . Вы не можете сказать извне, правильно ли обрабатывает тело функции. Инструменты предоставляются.

Используйте динамический SQL только там, где вам это нужно. Простые операторы SQL, использующие параметры в качестве значений, защищены от внедрения SQL, как функции SQL.

Для динамического SQL желательно передавать значения как значения с помощью:

• USINGположение. Пример .

Делает SQL-инъекцию невозможной на главной.

Если вы объединяете значения в строке SQL, используйте:

• format()с указателем формата%L . Пример .
• quote_literal()илиquote_nullable() . Пример .

Безопасно заключает строки в одинарные кавычки , что позволяет избежать синтаксических ошибок и внедрения SQL.

Параметры процесса, которые должны обрабатываться как идентификаторы в строке SQL с помощью:

• format()с указателем формата%I . Пример .
• quote_ident(), Пример .
• приведение к зарегистрированному типу - regclassдля имен таблиц: _tbl::regclass. Пример .

Заключает строки в двойных кавычках безопасны в случае необходимости , что позволяет избежать синтаксических ошибок и SQL инъекции.

Связанный:

• Рефакторинг функции PL / pgSQL для возврата результатов различных запросов SELECT
• Определить имена таблиц и столбцов в качестве аргументов в функции plpgsql?

Никогда не создавайте строку из пользовательского ввода и выполняйте. Это включает в себя идентификаторы, непосредственно переданные пользователем или полученные из системного каталога. При построении динамического SQL все должно обрабатываться как вводимые пользователем данные и безопасно цитироваться!

Подробнее о влиянии на производительность в этом связанном ответе:

• Производительность функции

Основы SQL-инъекции:

• http://bobby-tables.com/

Аналогичные соображения применимы и к другим языкам на стороне сервера, которые допускают динамический SQL.