NoSQL注入？ （PHP-> phpcassa-> Cassandra）

Question

任何熟悉Cassandra引擎（通過php使用phpcassa lib）的人都能熟練掌握sql注入攻擊向量是否存在一個必然結果？如果是這樣，有沒有人刺探過建立最佳實踐來挫敗他們？如果沒有，是否有人願意; ）

Answer 1

編號phpcassa使用的Thrift層是一個rpc框架，不基於字符串解析。

Answer 2

更新 - Cassandra v0.8引入CQL，它可能帶來了注入攻擊的可能性。然而：

Prepared statements然後在Cassandra v1.1.0中引入，這有助於防止此類攻擊。

此外，看到this posting這也說明CQL的功能，使注射性，包括：

• 每個CQL查詢必須包含一個聲明
• 作爲一個經驗法則，也有不言包含 其他語句的類型，這將成爲另一個用於注入的常見向量。