sql injection lek

[milovanderlinden]

De functies voor het lezen en schrijven naar de database zijn niet beveiligd tegen SQL injecties. Theoretisch zou het kunnen dat iemand een gemanipuleerd BAG extract probeert te verwerken dat ondertussen het datamodel kapot maakt.

Zie documentatie voor psycopg2 http://initd.org/psycopg/docs/usage.html

Warning
Never, never, NEVER use Python string concatenation (+) or string parameters interpolation (%) to pass variables to a SQL query string. Not even at gunpoint.
The correct way to pass variables in a SQL command is using the second argument of the execute() method:

SQL = "INSERT INTO authors (name) VALUES (%s);" # Notice: no quotes
data = ("O'Reilly", )
cur.execute(SQL, data) # Notice: no % operator

[milovanderlinden]

Ik ben bezig met testen. De eerste stappen ter verbetering zijn hier te zien:

https://github.com/opengeogroep/BAG-Extract/commit/ea78a4a99d248f9abccd0ac49f3a6927e98815ff#diff-0