Door Anoniem: Door Erik van Straten: Door Anoniem: De code is onveilig omdat er injecties kunnen worden gedaan in de sql-string die je opbouwt. Wat ik ervan begrijp, als leek, is dat jdbcTemplateObject.update( ) SQL injectie voorkomt mits je de parameters separaat doorgeeft, dus juist niet als onderdeel van de SQL opdracht. Ik heb er te weinig inzicht in of de TS dit in alle gevallen goed gedaan heeft, maar -met mijn gebrekkige kennis van Java en Spring- zie ik de fouten er op dat punt niet vanaf spatten. Met string opbouw kun je altijd de latere escaping voorkomen/saboteren, mits je weet hoe het filter werkt. Ah, wellicht komen we nu ergens. Graag links naar voorbeelden waarom het een risico vormt wat de TS doet (en al die andere gebruikers van Spring's JdbcTemplate). Nogmaals, ik heb geen detailkennis op dit gebied, dus je zou zomaar gelijk kunnen hebben. Maar dan zul je dat wel moeten aantonen om ons (op z'n minst de TS en mij) daarvan te overtuigen; mogelijk loze kreten van een Anoniem slaan nog geen ...