Ham SQL enjeksiyon riski (ARCH8055)

Anahtar kotlin.orm.raw-sql-injection-risk · Önem critical · Kategori orm · CWE CWE-89

String şablonu veya birleştirmeyle kurulup bir sorgu API’sine (createQuery, rawQuery, execSQL, prepareStatement) verilen ham SQL’i işaretler.

Hatalı

db.rawQuery("SELECT * FROM users WHERE name = '$name'", null)

Doğru

db.rawQuery("SELECT * FROM users WHERE name = ?", arrayOf(name))

Düzeltme

Parametre bağlayın; değerleri asla SQL metnine gömmeyin.