Oracle PL/SQL動態SQL注入防禦：DBMS_ASSERT包實戰應用指南

從Java層防禦延伸到資料庫層：PL/SQL動態SQL注入風險與修復方案

企業常重視應用層PreparedStatement防注入，卻忽略PL/SQL動態SQL(EXECUTE IMMEDIATE)同樣存在注入風險。本文透過實例演示攻擊向量與DBMS_ASSERT修復全過程。

一、脆弱程式碼範例

CREATE OR REPLACE PROCEDURE disable_constraint(
  p_constraint_name VARCHAR2,
  p_table           VARCHAR2
) AUTHID CURRENT_USER
AS
  p_schema  VARCHAR2(32) := USER;
  sql_stmt  VARCHAR2(2000) := 'ALTER TABLE ' || p_schema || '.' || p_table
                           || ' DISABLE CONSTRAINT ' || p_constraint_name;
BEGIN
  EXECUTE IMMEDIATE sql_stmt;
END;
/

二、三大注入向量分析

三、防禦策略優先序

1. 靜態SQL：能不用動態SQL就不用
2. 綁定變數：EXECUTE IMMEDIATE 'SELECT * FROM t WHERE id=:b' USING v_id; — 但DDL不支援綁定
3. 輸入驗證/清洗：DBMS_ASSERT包 — DDL動態SQL唯一可行方案

四、DBMS_ASSERT核心函數評測

五、修復後程式碼

CREATE OR REPLACE PROCEDURE disable_constraint(
  p_constraint_name VARCHAR2,
  p_table           VARCHAR2
) AUTHID CURRENT_USER
AS
  p_schema       VARCHAR2(32) := SYS.DBMS_ASSERT.ENQUOTE_NAME(USER, FALSE);
  sql_stmt       VARCHAR2(2000);
  safe_table     VARCHAR2(32);
  safe_constraint VARCHAR2(32);
BEGIN
  safe_table      := SYS.DBMS_ASSERT.ENQUOTE_NAME(p_table, FALSE);
  safe_constraint := SYS.DBMS_ASSERT.ENQUOTE_NAME(p_constraint_name, FALSE);
  
  sql_stmt := 'ALTER TABLE ' || p_schema || '.' || safe_table
           || ' DISABLE CONSTRAINT ' || safe_constraint;
  
  EXECUTE IMMEDIATE sql_stmt;
END;
/

六、關鍵注意事項

• 大小寫敏感：ENQUOTE_NAME(..., FALSE)保留原大小寫，呼叫端必須傳入正確大小寫(如Table_1而非TABLE_1)
• AUTHID CURRENT_USER：以呼叫者權限執行，配合DBMS_ASSERT雙重防護
• 審計追蹤：建立DDL觸發器記錄所有ALTER/DROP/GRANT操作
• 程式碼掃描：納入CI/CD靜態分析，標記所有EXECUTE IMMEDIATE需人工審查

七、延伸防禦

• 最小權限：程式單元擁有者僅具備必要DDL權限
• 資料庫防火牆/統一審計：記錄所有動態SQL執行
• 定期滲透測試：含PL/SQL注入測試案例

1. 上一篇文章： Oracle字串分割三種實作方案：自訂函數、PIPELINED、REGEXP_CONNECT BY對比
2. 下一篇文章： Oracle分頁查詢存儲過程：動態多條件+雙層ROWNUM標準實作

Oracle 資料庫基礎

Oracle 資料庫前瞻性維護實戰：AWR 自動負載倉庫配置與調優指南

前言 資料庫維護分「反應性」（故障後處理）與「前瞻性」（故障

Oracle 10g「shared memory realm does not exist」錯誤診斷與秒級解決

錯誤現象 使用 SQL*Plus 或應用程式連線 Oracl

Win7 安裝 Oracle 10g/11g 提示「操作系統未驗證」解決方案

錯誤現象 Checking operating system

Oracle 壓縮表與壓縮表空間查詢腳本實用指南

前言 資料壓縮可大幅降低儲存成本並提升掃描效能。本文提供兩支