NDB/DB NoSQL注入谷歌數據存儲

Question

是否有任何SQL注入等價物或使用NoSQL時應該注意的其他漏洞？

我在Python2.7中使用Google App Engine數據庫，並注意到Google沒有太多關於Datastore安全性的文檔。

任何幫助，將不勝感激！

Answer 1

標準的SQL注入技術依賴於SQL有各種語句來查詢或修改數據的事實。數據存儲沒有這樣的功能。 GQL（數據存儲的查詢語言）只能用於查詢，不能修改。插入，更新和刪除使用不使用文本表達式的單獨方法完成。因此，數據存儲不容易受到這種注入技術的影響。在最糟糕的情況下，攻擊者只能更改查詢來選擇您不想要的數據，但不會更改它。