SQLQueryApp_6_bad.java

/*
ПРИМЕР КАК МОЖНО НЕОБДУМАННЫМ КОДОМ ПОРУШИТЬ БАЗУ
И ПОЗВОЛИТЬ ЗЛОУМЫШЛЕННИКАМ ПОЛУЧИТЬ ПОЛНЫЙ НАД
НЕЙ КОНТРОЛЬ;

!!! Нужно помнить разницу между (возвращаемые данные):

- boolean execute(String sql) - Выполняет запрос SQL,
который может возвращать несколько результатов.

- ResultSet executeQuery(String sql) - Выполняет
запрос SQL, который возвращает один объект ResultSet.

- int executeUpdate(String sql) - Выполняет запрос SQL,
который может быть оператором INSERT, UPDATE или DELETE
или оператором SQL, который ничего не возвращает, например
оператором SQL DDL.

При этом не забываем подключить в настройках
драйвер соединения с базой данных (*.jar),
который лежит в папке 'lib' проекта 'JDBCLessonOne',
иначе словим исключение. Не забываем пометить
папку 'resources', как ресурсную.
*/
import connection_util.ConnectionManager;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
import java.util.ArrayList;
import java.util.List;

public class SQLQueryApp_6_bad {

    public static void main(String[] args) throws SQLException {
        /*
        Шаг 3.  Формируем запросы к базе данных:

        - Безобидный и выдающий требуемое:
          String flightId = "2";

        - Хакерский выдающий все id из таблицы:
          String flightId = "2 OR '' = ''";

        - Хакерский выдающий все id из таблицы у убивающий таблицу в базе:
          String flightId = "2 OR 2 = 2; " +
                            "DROP TABLE flight_repository.test_for_delete; " +
                            "COMMIT;";
          Да, в случае последнего запроса мы получим:
            PSQLException: Multiple ResultSets were returned by the query.
          Но, таблица из базы будет удалена, и это легко проверить, т.е.
          при такой конструкции методов и запросов можно сильно
          подставиться.

        */
        // Формируем простой запрос
        String flightId = "2";
        var result = getTicketsByFlightId(flightId);
        System.out.println(result);
    }
    /*
    Шаг 1. Создаем метод, который позволяет получить id из таблицы
           ticket схемы flight_repository по запросу.
    */
    private static List<Long> getTicketsByFlightId(String flightId) throws SQLException {
        /*
        Шаг 2. Создаем строковый SQL запрос к базе и форматируем его.
               Переданный в качестве параметра flightId помещается в
               запрос - стандартное форматирование строки через %s.

               !!! И ловушка захлопнулась!!!
               В качестве flightId принимается строка, а значит в нее
               можно поместить много чего.

               Например, сначала, то, что от нас ждут например 'id = 2',
               а затем через ';' любую команду или запрос, допустим так:
               "2; DROP TABLE flight_repository.test_for_delete;"

        */
        String sql = """
                SELECT id
                FROM flight_repository.ticket
                WHERE flight_id = %s
                """.formatted(flightId);

        // Список для хранения результатов запроса
        List<Long> result = new ArrayList<>();
        // Создаем объекты для соединения с базой и формирования запросов
        try (Connection connection = ConnectionManager.getBaseConnection();
             Statement statement = connection.createStatement())
        {
             // Наш запрос может вернуть несколько записей.
             ResultSet resultSet = statement.executeQuery(sql);
             // Переберем их все.
             while (resultSet.next()) {
             /*
             Добавляем полученные данные из ResultSet в наш List.
             Однако, метод *.getLong() возвращает long и если
             вдруг поле будет NULLable, мы можем поймать исключение.
             Поэтому лучше применять метод описанный ниже
             -> */

             // result.add(resultSet.getLong("id"));

             /* ->

             <T> T getObject(String columnLabel,
             Class<T> type) - Извлекает значение назначенного столбца в текущей
                              строке этого объекта ResultSet и преобразует тип
                              SQL столбца в запрошенный тип данных Java, если
                              преобразование поддерживается.
             */
                result.add(resultSet.getObject("id", Long.class)); // NULL safe
             }
        }
        return result;
    }
}