用于查询密码注入的示例查询？

Question

我是neo4j的新手，已经受命编写一些密码注入测试。我们正在使用参数化，但是我正在编写测试，以防有人将其更改为使用字符串concat。我需要一个示例查询来检查我的测试，但是我不完全确定哪个是好的查询。我当时正在考虑使用MATCH (n) DETACH DELETE n删除所有节点和关系，但是不确定是否需要在开头或其他地方添加引号，以便它可以结束字符串并运行查询？与"MATCH (n) DETACH DELETE n中一样。这项工作还是我可以使用的更好的东西？感谢您的帮助！

Answer 1

此查询与您提出的查询不同：

这有两种获取用户的方法：

1. 字符串串联：

  

“在（u：USER）u.id =” + id +“ RETURN u”的地方匹配

1. 参数化：

  

“在（.u：USER）u.id = {id}返回u的地方匹配”

您可以通过在两个查询中传递 id 的值来进行检查，例如：

  

1或1 = 1

或 id 的最差值，例如：

  

1 OR 1 = 1
  与u
  分离删除u