Re: [Moscow.pm] Уязвимость при использовании dataTables и DBIx::Class

Mon, 28 Dec 2015 05:32:48 -0800 

В Mon, 28 Dec 2015 15:53:28 +0300
"Dmitry L." <[email protected]> пишет:

> А если у меня quote_chars включены, то запрос будет таким? Он
> отработает вообще?
> 
> ORDER BY `me`.`id`, `(select 1 from (SELECT name, CASE name='first'
> WHEN FALSE THEN pg_sleep(0) ELSE pg_sleep(10) END from users) as t
> limit 1)` ASC

Добавил параметр quote_names в соединение с БД

    my $db = MyProject->connect( ... ,
        {
            AutoCommit     => 1,
            pg_enable_utf8 => 1,
            quote_names    => 1,
        }
    );

Сырой SQL-запрос стал таким, и, конечно, не сработал из-за отсутствия
колонки:

... ORDER BY "me"."id, (select 1 from (SELECT name, CASE name='first' WHEN 
FALSE THEN pg_sleep(0) ELSE pg_sleep(10) END from users) as t limit 1)" ASC 
LIMIT ?: '10'

Спасибо, буду использовать впредь!
-- 
Moscow.pm mailing list
[email protected] | http://moscow.pm.org

Ответить