测试类型

工具功能

测试版本

7.0.0-RC3

问题描述

advisor/index_advisor/postgres_env.py 在构造部分 PostgreSQL/openGauss SQL 时使用 Python % 拼接动态值。表名、列名及 HypoPG index ID 可能直接进入最终 SQL；当这些值包含引号或特殊 SQL 语法时，可能改变语句语义，形成潜在 SQL 注入风险。

涉及范围：

• information_schema.columns 的表名查询；
• step() 和 cal_cur_cost() 中的 hypopg_create_index DDL；
• step() 中的 hypopg_relation_size index ID 查询。

操作系统和硬件信息

Host: Windows with Docker Desktop

Container image: swr.cn-north-4.myhuaweicloud.com/kunpeng-ai/opengauss-distributed:0328

Database: openGauss-lite 7.0.0-RC3

测试环境

轻量版容器化

被测功能

advisor/index_advisor/postgres_env.py

预置条件

• index advisor 可以连接 PostgreSQL/openGauss；
• HypoPG 扩展可用；
• schema、表名或列名包含引号等特殊字符。

操作步骤

1. 创建包含引号等特殊字符的 schema、表名或列名。
2. 初始化 postgresql_env，触发 catalog 查询。
3. 调用 step() 或 cal_cur_cost() 创建 HypoPG 假想索引。
4. 检查传给 psycopg2 cursor 的 SQL 文本与参数。

预期输出

• schema、table 和 HypoPG index ID 通过 psycopg2 参数绑定传递；
• DDL 中的 schema、table、column 使用 psycopg2.sql.SQL 和 psycopg2.sql.Identifier 组成；
• HypoPG DDL 作为参数传给 hypopg_create_index；
• workload payload 的 EXPLAIN {sql} 保持不变，benchmark SQL 语义不发生变化。

实际输出

原实现通过 % 将表名、列名和 index ID 直接拼入 SQL 文本，未区分 SQL 结构、标识符和数据参数。安全扫描因此报告多处潜在 SQL 注入风险。

日志信息

相关旧代码模式：

• WHERE table_name='%s' % table；
• hypopg_create_index('CREATE INDEX ON %s (%s)') % (table_name, column_name)；
• hypopg_relation_size(%s) % str(index_id)。

提单组织

开发自提