如何使用preparedstatment修复SQL注入？

Question

我有一个类被veracode扫描标记为SQL注入，即使我使用的是PreparedStatment。我不能确定问题出在哪里，或者这是否可能是扫描的误报。请参考下面的代码(QueryBuffer是一个使用StringBuffer的自定义类)：

List<ReferralService> list = new ArrayList<ReferralService>();
QueryBuffer sql = new QueryBuffer();
sql.addSql("SELECT rs.id FROM referral_service rs ");
sql.addSql("WHERE ");
sql.addSql("rs.closed = ? AND ");
sql.addSql("rs.workflow_id = ? ");
sql.addSql("ORDER BY submitted_on ASC limit 200");

PreparedStatement prepStmt = conn.prepareStatement(sql.toString());
prepStmt.setInt(1, 0);
prepStmt.setInt(2, liTeamID);
ResultSet rs = prepStmt.executeQuery();

Answer 1

看起来veracode对字符串连接不满意。

它更像是一种SQL注入，将来当(另一个)开发人员扩展代码并向字符串中添加不好的东西(如变量)时，可能会发生这种情况。

所以请避免使用所有这些addSql字符串。