SOQL Injection

使用来自不可信来源的数据执行 SOQL 查询可能会允许访问未经授权的数据。

Salesforce 对象查询语言 (SOQL) 旨在从应用程序数据库检索特定信息；用户不能使用 SOQL 查询更改此类数据。

Salesforce 对象查询语言 (SOQL) injection 错误在以下情况下出现：

1. 数据从一个不可信赖的数据源进入程序。


2. 在未进行任何预处理或清除的情况下，数据用于动态构造 SOQL 查询。
示例 1：以下代码动态地构造并执行了一个 SOQL 查询，该查询搜索具有指定名称的联系人。

...
public String inputValue {
  get { return inputValue; }
  set { inputValue = value; }
}
...
String queryString = 'SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like \'%' + inputValue + '%\')';
result = Database.query(queryString);
...

此代码可按以下方式执行查询：

SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like '%inputValue%')

但是，由于这个查询是动态构造的，由一个不变的基查询字符串和一个用户输入字符串连接而成，因此只有在 inputValue 不包含单引号字符时，才会正确执行这一查询。如果攻击者为 inputValue 输入字符串 name') OR (Name like '%，则该查询会变成：

SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like '%name') OR (Name like '%%')

附加条件 name') OR (Name like '% 会使 where 子句使用 LIKE '%%' 条件，这将强制该查询输出所有可能的 ID 值，因为它在逻辑上将等同于一个更为简化的查询：

SELECT Id FROM Contact WHERE ... OR (Name like '%%')

与大多数数据库接口不同，在 force.com 平台中，SOQL 不支持以分号分隔的多个 SOQL 语句，这意味着，无法像常规 SQL injection 攻击那样在一个查询中连接多个命令。另请注意，Apex 数据库不支持注释，因此每个单引号、括号或其他特殊字符都必须成对使用。