JOOQ框架SQL注入防护与安全实践

1. JOOQ框架概述

JOOQ (Java Object Oriented Querying) 是一个ORM框架，通过生成的Java代码和流畅的API，可以构建类型安全且防止SQL注入的SQL语句。与MyBatis和Hibernate不同，JOOQ采用独特的ORM实现方式。

1.1 核心接口

DSL (org.jooq.impl.DSL)

• 生成所有JOOQ对象的主要类
• 作为静态工厂用于创建数据库表表达式、列表达式、条件表达式等

DSLContext (org.jooq.DSLContext)

• SQL执行器接口
• 通过DSL.using静态方法获取实例
• 提供所有SQL操作的API

示例代码：

public JooqPojo selectByName(String name) {
    return dslContext.select()
            .from(jooq)
            .where(jooq.NAME.eq(name)).fetchAny(r -> r.into(JooqPojo.class));
}

1.2 参数绑定方式

1. DSL.param()

   public JooqPojo selectByName(String name, String content) {
       return dslContext.select()
               .from(jooq).where(DSL.field("name").eq(DSL.param(jooq.NAME.getName(),name)))
               .fetchAny(r -> r.into(JooqPojo.class));
   }
   

2. Object... bindings参数

   • 支持?占位符
   • 支持:param命名参数
   • 支持{index}位置参数

3. 表达式处理

   result = result.and(jooq.NAME.like("%" + name + "%"));
   

2. 常见SQL注入场景

2.1 Plain SQL API风险

JOOQ标记了@PlainSQL注解的API存在SQL注入风险，使用时需特别注意。

2.1.1 执行任意SQL、函数和存储过程

危险示例：

public Condition condition(String name){
    Condition result = DSL.noCondition();
    result=result.and("name like '%"+name+"%'");
    return result;
}

安全修复方案：

// 方案1：使用预编译
result=result.and("name like CONCAT('%',?,'%')",name);

// 方案2：使用JOOQ表达式
result=result.and(jooq.NAME.like("%" + name + "%"));

2.1.2 动态表名

危险示例：

public JooqPojo selectByTableName(String tableName) {
    return dslContext.select()
            .from(DSL.table(name(tableName)))
            .limit(0,1).fetchAny(r -> r.into(JooqPojo.class));
}

安全修复方案：
使用DSL.name()处理表名：

.from(DSL.table(name(tableName)))

2.1.3 直接执行SQL

危险示例：

Query query = create.query("DELETE FROM BOOK");
query.execute();

安全修复方案：
使用参数绑定：

String sqlTemp="select * from jooq where name ={0}";
return dslContext.resultQuery(sqlTemp,name).fetchAny(r -> r.into(JooqPojo.class));

3. 安全增强措施

3.1 使用jooq-checker

在pom.xml中添加依赖：

<dependency>
    <groupId>org.jooq</groupId>
    <artifactId>jooq-checker</artifactId>
    <version>${version}</version>
</dependency>

配置Maven编译器插件：

<plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-compiler-plugin</artifactId>
    <version>3.3</version>
    <configuration>
        <source>1.8</source>
        <target>1.8</target>
        <fork>true</fork>
        <annotationProcessors>
            <annotationProcessor>org.jooq.checker.PlainSQLChecker</annotationProcessor>
        </annotationProcessors>
        <compilerArgs>
            <arg>-Xbootclasspath/p:1.8</arg>
        </compilerArgs>
    </configuration>
</plugin>

3.2 显式允许Plain SQL

当确实需要使用@PlainSQL API时，使用@Allow.PlainSQL注解：

@Override
@Allow.PlainSQL
public JooqPojo selectByName(String name,String content) {
    return dslContext.select()
            .from(jooq)
            .where(jooq.NAME.eq(name)).and(content).fetchAny(r -> r.into(JooqPojo.class));
}

4. 审计建议

1. 搜索代码中的@Allow.PlainSQL注解，检查对应方法是否合理使用
2. 检查是否使用了参数绑定或对用户输入进行了安全过滤
3. 对于动态表名/列名场景，检查是否使用了DSL.name()等安全处理方法
4. 确保项目中启用了jooq-checker进行静态检查

5. 参考资料

• JOOQ官方文档
• JOOQ API文档中关于@PlainSQL和@Allow.PlainSQL的说明