flawopen.com/Go में SQL injection/GORM Raw SQL और SQL injection

क्या GORM Raw() SQL injection से सुरक्षित है? Go में parameter binding

// उपयोगकर्ता-नियंत्रित पाठ SQL syntax बन जाता है
db.Raw(fmt.Sprintf(
  "SELECT * FROM users WHERE id = %s",
  userID,
)).Scan(&user)

// Driver userID को value के रूप में bind करता है
db.Raw(
  "SELECT * FROM users WHERE id = ?",
  userID,
).Scan(&user)

GORM Raw SQL और parameter binding के सुरक्षित नियम

जब placeholders SQL में रहें और arguments अलग दिए जाएँ, GORM और Go का database/sql values को bind करते हैं, जैसे db.Where("name = ?", userInput) या db.Raw("SELECT ... WHERE id = ?", userID)। Placeholder value दर्शाता है, SQL syntax नहीं: table name, column name, sort direction और operators को value bind करके सुरक्षित नहीं किया जा सकता। Dynamic identifiers को fixed allowlist से चुनें। Order, Select, Table और Raw जैसे methods में user input SQL fragments से जोड़ने पर injection संभव है।

• ✓SQL structure स्थिर रखें और हर user-controlled value को अलग placeholder argument के रूप में दें।
• ✓Dynamic table, column और sort names को application द्वारा तय fixed allowlist से चुनें।
• ✓Raw, Exec, Order, Select और Table जैसे SQL-fragment methods में concatenation या formatting जाँचें।
• ✓Query से पहले numeric identifiers को अपेक्षित Go type में बदलें और conversion errors संभालें।

Codebase कैसे जाँचें

GORM Raw SQL और parameter binding के प्रश्न

आधिकारिक स्रोत और संदर्भ

• GORM दस्तावेज़ — SQL injection वाले methods
• GORM दस्तावेज़ — Raw SQL और parameterized queries
• flawopen.com — Go में SQL injection