输入消毒-数值 Oracle 12.2和更高版本早于Oracle 12.2

如何解决输入消毒-数值 Oracle 12.2和更高版本早于Oracle 12.2

有人要求我进行输入验证，以防止sql注入。我一直在使用dbms assert包函数进行清理。但是，当我尝试对数字进行清理（我在varchar2（12字节）中获取它）时，会引发错误。以数字开头的字母数字字符也是如此。

我尝试了dbms assert的各种功能。除了noop，似乎什么都没有。但是，noop没有用，因为它没有进行任何验证。

create or replace procedure employee
(
v_emp_id IN varchar2(12 byte)
)
AS
lv_query CLOB;
BEGIN

if v_emp_id is NOT NULL THEN
lv_query := 'select * from employee where emp_id=''' || dbms_assert.enquote_name(v_emp_id) || '''';
--I also tried below:
-- lv_query := 'select * from employee where emp_id=''' || dbms_assert.simple_sql_name(v_emp_id) || '''';
end if;

END

没有任何源提供有关dbms_assert软件包的更详细的输入。请帮助我

1. 是否可以使用dbms_assert软件包来清理数值（存储在VARCHAR2变量中）。如果是，怎么办？
2. 其他清除输入的方法。 （除了使用绑定变量）

谢谢。

解决方法

Oracle 12.2和更高版本

如果您使用的是Oracle 12.2或更高版本，则可以使用VALIDATE_CONVERSION函数，这是最简单的解决方案。您的代码可能看起来像这样：

CREATE OR REPLACE PROCEDURE employee (v_emp_id IN VARCHAR2)
AS
    lv_query   CLOB;
BEGIN
    IF v_emp_id IS NOT NULL AND validate_conversion (v_emp_id AS NUMBER) = 1
    THEN
        lv_query := 'select * from employee where emp_id = ' || v_emp_id;
    ELSE
        --do something here with an invalid number
        null;
    END IF;
END;
/

早于Oracle 12.2

如果您不是使用Oracle 12.2或更高版本，则可以编写自己的小函数来验证该值是数字。使用类似于Belayer建议的方法，只需尝试使用TO_NUMBER函数将值转换为数字，如果失败，则说明它不是数字。在我的示例中，我将其作为代码中的一个小的匿名块，但如果需要，也可以使其成为独立的函数。

CREATE OR REPLACE PROCEDURE employee (v_emp_id IN VARCHAR2)
AS
    lv_query      CLOB;
    l_is_number   BOOLEAN;
BEGIN
    --Verify that the parameter is a number
    DECLARE
        l_test_num   NUMBER;
    BEGIN
        l_test_num := TO_NUMBER (v_emp_id);
        l_is_number := TRUE;
    EXCEPTION
        WHEN VALUE_ERROR
        THEN
            l_is_number := FALSE;
    END;
    --Finished verifying if the parameter is a number

    IF v_emp_id IS NOT NULL AND l_is_number
    THEN
        lv_query := 'select * from employee where emp_id = ' || v_emp_id;
    ELSE
        --do something here with an invalid number
        null;
    END IF;
END;
/

,

好吧，如果您无法更改过程，则意味着您没有测试，因为该过程将无法编译，因此无法执行。但是，这可能是有争议的。您需要准确定义“清除数值”的含义。您的意思是验证字符串是否包含数字值。如果是这样，DBMS_ASSERT将不会这样做。 （注意：该函数选择ENQUOTE_NAME将大写该字符串并在字符串前后加上双引号（“），从而使其成为 valid 对象名。）此外，您的特定验证可能要求您定义一个有效的数值，为它是：整数，一个浮点数，是科学国家允许的，是否存在必须满足的精度和小数位数等。作为蛮力验证，您可以通过转换为数字来模拟断言。就像dbms_assert一样，如果断言成功，它将返回输入字符串；但是，与dbms_assert不同的是，当断言失败时，它仅返回null而不引发异常。请参见fiddle。

create or replace 
function assert_is_numeric(value_in varchar2)
  return varchar2
is
   not_numeric exception;
   pragma exception_init (not_numeric,-06502);
   l_numeric number;
begin 
   l_numeric := to_number(value_in);
   return value_in; 
exception
   when not_numeric then 
        return null;
end assert_is_numeric;