Clickhouse: параметрические запросы с использованием знака вопроса (?)

При использовании параметрических запросов с использованием знака вопроса (?) в SQL-запросах через библиотеку clickhouse-go или другие библиотеки в Go, такие параметры безопасно обрабатываются, и в большинстве случаев предотвращают SQL инъекции.

Пример запроса:

Где value — это параметр, который подставляется в запрос.

1. Подстановка разных типов данных

Знак вопроса (?) в SQL-запросах используется для подстановки значений в запрос без необходимости вручную их экранировать или форматировать. Библиотека автоматически обрабатывает тип данных и выполняет правильную подстановку в запрос в зависимости от типа данных. Это могут быть:

• Числа — например, int, float64, и т.д.
• Строки — например, string.
• Даты и временные метки — например, time.Time в Go.
• Булевы значения — например, true или false.
• NULL значения — в случае необходимости передачи пустых значений.

Примеры подстановки разных типов данных

1. Число:
   
   PgSQL

   query := "SELECT * FROM my_table WHERE column2 = ?" rows, err := conn.Query(query, 12345)

   1 2 3

   query := "SELECT * FROM my_table WHERE column2 = ?" rows, err := conn.Query(query, 12345)

   В этом случае параметр 12345 будет безопасно подставлен в запрос, и ClickHouse получит число в соответствующем формате.
2. Строка:
   
   PgSQL

   query := "SELECT * FROM my_table WHERE column2 = ?" rows, err := conn.Query(query, "SomeString")

   1 2 3

   query := "SELECT * FROM my_table WHERE column2 = ?" rows, err := conn.Query(query, "SomeString")

   Здесь строка "SomeString" будет безопасно экранирована, и она будет подставлена в запрос.
3. Дата/время:
   
   PgSQL

   query := "SELECT * FROM my_table WHERE column2 = ?" rows, err := conn.Query(query, time.Now()) // текущая дата и время

   1 2 3

   query := "SELECT * FROM my_table WHERE column2 = ?" rows, err := conn.Query(query, time.Now())  // текущая дата и время

    

Если подставляется значение типа time.Time, то оно будет автоматически преобразовано в нужный формат для ClickHouse (например, в строку с форматом YYYY-MM-DD HH:MM:SS).

2. Защита от SQL инъекций

Параметрические запросы с использованием знаков вопроса (?) — это стандартный способ защиты от SQL инъекций. Вот почему это безопасно:

• Экранирование параметров: Когда вы используете параметрические запросы, драйвер ClickHouse автоматически экранирует значения перед подстановкой их в запрос. Это предотвращает ситуацию, когда потенциально вредоносный код может быть выполнен, если данные, введенные пользователем, вставляются в запрос без должной обработки.

  Например, если пользователь вводит строку, содержащую опасный SQL-код, такой как:

  PgSQL

  "1; DROP TABLE my_table; --"

  1 2	"1; DROP TABLE my_table; --"

  • то при использовании параметрического запроса, строка будет экранирована, и вместо этого будет подставлена как обычная строка "1; DROP TABLE my_table; --", а не как SQL-команда.
  • Нет необходимости в ручном экранировании: Когда вы используете параметры с помощью библиотеки, вы не несете ответственность за экранирование символов, таких как одинарные кавычки, которые часто используются для защиты от инъекций в ручных запросах.

3. Пример безопасности

Предположим, у нас есть запрос:

Если вместо этого вы используете параметрический запрос:

При таком подходе даже если параметр value содержит символы, которые могут быть опасными, они будут корректно обработаны и не приведут к выполнению нежелательного SQL-кода. Например:

В этом случае подставленная строка будет интерпретироваться как обычный текст, а не как часть SQL-кода, который может повлиять на выполнение запроса.

4. Типы данных

Когда вы подставляете параметры, важно убедиться, что тип параметра соответствует ожидаемому типу для соответствующего столбца. Например:

• Для числовых значений в запросах ожидаются типы, такие как int, float, и т.д.
• Для строк — тип string.
• Для временных значений — тип time.Time.
• Для булевых значений — тип bool.

Если тип данных не совпадает с ожидаемым, то драйвер обычно вызовет ошибку выполнения. Например, если вы пытаетесь передать строку в столбец, который ожидает целое число, вы получите ошибку.

5. Пример с time.Time

В этом случае, если столбец column2 в базе данных ожидает тип DateTime, то значение времени будет автоматически преобразовано в нужный формат для ClickHouse.

Заключение

• Защита от SQL инъекций: Параметрические запросы с использованием знаков вопроса (?) автоматически защищают от SQL инъекций, так как библиотека будет правильно экранировать передаваемые данные.
• Подстановка различных типов: Параметры запроса могут быть различного типа (числа, строки, даты и т.д.), и библиотека автоматически обрабатывает их корректно.
• Безопасность и удобство: Использование параметрических запросов не только повышает безопасность, но и упрощает код, так как вам не нужно вручную экранировать значения.

Таким образом, использование параметрических запросов с подстановкой значений через ? является стандартной и безопасной практикой для работы с базой данных в Go.