次に、JSONオブジェクトを返すテンプレート・プロセッサの例を示します。

var JSON = StringTemplate.Processor.of(
    (StringTemplate stJSON) -> {
        try (JsonReader jsonReader = Json.createReader(new StringReader(
            stJSON.interpolate()))) {
            return jsonReader.readObject();
        }    
    }
);

String accountType = "user";
String userName = "Duke";
String pw = "my_password";

JsonObject newAccount = JSON."""
{
    "account":    "\{accountType}",
    "user":       "\{userName}",
    "password":   "\{pw}"
}
""";

System.out.println(newAccount);

userName = "Duke\", \"account\": \"administrator";

newAccount = JSON."""
{
    "account":    "\{accountType}",
    "user":       "\{userName}",
    "password":   "\{pw}"
}
""";

System.out.println(newAccount);

出力は次のようになります。

{"account":"user","user":"Duke","password":"my_password"}
{"account":"administrator","user":"Duke","password":"my_password"}

この例には問題があります。あるタイプのJSONインジェクション攻撃の影響を受ける可能性があります。このタイプの攻撃では、引用符を含む悪意のあるデータをJSON文字列に挿入し、JSON文字列自体を変更します。この例では、ユーザー名を"Duke\", \"account\": \"administrator"に変更します。結果のJSON文字列は次のようになります。

{
    "account":    "user",
    "user":       "Duke",
    "account":    "administrator",
    "password":   "my_password"
}

JSONパーサーが同じ名前のエントリを検出した場合、最後のエントリが使用されます。そのため、ユーザーDukeには管理者権限があります。

次の例では、この種のJSONインジェクション攻撃に対処します。テンプレートに引用符付きの文字列が含まれている場合は、例外がスローされます。その値のいずれかが数値またはブール値でない場合も例外がスローされます。

StringTemplate.Processor<JsonObject, JsonException> JSON_VALIDATE =
    (StringTemplate stJVAL) -> {
    String[] invalidStrings = new String[] { "\"", "'" };
    List<Object> filtered = new ArrayList<>();
    for (Object value : stJVAL.values()) {
        if (value instanceof String str) {
            if (Arrays.stream(invalidStrings).anyMatch(str::contains)) {
                throw new JsonException("Injection vulnerability");
            }
            filtered.add(str);
        } else if (value instanceof Number ||
                   value instanceof Boolean) {
            filtered.add(value);
        } else {
            throw new JsonException("Invalid value type");
        }
    }
    
    String jsonSource =
        StringTemplate.interpolate(stJVAL.fragments(), filtered);

    try (JsonReader jsonReader = Json.createReader(new StringReader(
        jsonSource))) {
        return jsonReader.readObject();
    }             
};        
    
String accountType = "user";
String userName = "Duke";
String pw = "my_password";

try {
    JsonObject newAccount = JSON_VALIDATE."""
    {
        "account":    "\{accountType}",
        "user":       "\{userName}",
        "password":   "\{pw}"
    }
    """;

    System.out.println(newAccount);

    userName = "Duke\", \"account\": \"administrator";

    newAccount = JSON_VALIDATE."""
    {
        "account":    "\{accountType}",
        "user":       "\{userName}",
        "password":   "\{pw}"
    }
    """;

    System.out.println(newAccount);
    
} catch (JsonException ex) {
    System.out.println(ex.getMessage());
}

出力は次のようになります。

{"account":"user","user":"Duke","password":"my_password"}
Injection vulnerability

準備された文を返すテンプレート・プロセッサを作成できます。

SUPPLIERS表から特定のコーヒー・サプライヤ(SUP_NAMEで識別)に関する情報を取得する次の例を考えてみます。このデータベース表の作成と移入の方法など、このデータベース表の詳細は、Javaチュートリアル(Java SE 8以前)のJDBCチュートリアルのSUPPLIERS表に関する項を参照してください。

  public static void getSupplierInfo(Connection con, String supName) throws SQLException {
    String query = "SELECT * from SUPPLIERS s WHERE s.SUP_NAME = '" + supName + "'";
      try (Statement stmt = con.createStatement()) {
        ResultSet rs = stmt.executeQuery(query);
        System.out.println("ID   " +
                           "Name                       " +
                           "Street               " +
                           "City          State  Zip");
        while (rs.next()) {
          int supplierID = rs.getInt("SUP_ID");
          String supplierName = rs.getString("SUP_NAME");
          String street = rs.getString("STREET");
          String city = rs.getString("CITY");
          String state = rs.getString("STATE");
          String zip = rs.getString("ZIP");
          String supRow = FormatProcessor.FMT."%-4s\{supplierID} %-26s\{
            supplierName} %-20s\{street} %-13s\{city} %-6s\{state} \{zip}";
          System.out.println(supRow);
        }
      } catch (SQLException e) {
        JDBCTutorialUtilities.printSQLException(e);
    }
  }

このメソッドを次のように呼び出すとします。

SuppliersTable.getSupplierInfoST(myConnection, "Superior Coffee");

このメソッドの出力は次のようになります。

ID   Name                       Street               City          State  Zip
49   Superior Coffee            1 Party Place        Mendocino     CA     95460

この例には問題があります。SQLインジェクション攻撃の影響を受ける可能性があります。このメソッドを次のように呼び出すとします。

SuppliersTable.getSupplierInfo(
  myConnection, "Superior Coffee' OR s.SUP_NAME <> 'Superior Coffee");

SQL問合せは次のようになります。

SELECT * from SUPPLIERS s WHERE
  s.SUP_NAME = 'Superior Coffee' OR
  s.SUP_NAME <> 'Superior Coffee'

Statementオブジェクトは、「無効」なサプライヤ名をSQL文の一部として処理します。その結果、メソッドによりSUPPLIERS表のすべてのエントリが出力され、機密情報が公開される可能性があります。

プリペアド文は、SQLインジェクション攻撃の防止に役立ちます。クライアントが提供するデータは常にパラメータの内容として扱われ、SQL文の一部としては扱われません。次の例では、文字列テンプレートからSQL問合せ文字列を作成し、問合せ文字列からJDBC PreparedStatementを作成し、そのパラメータを埋込み式の値に設定します。

  record QueryBuilder(Connection conn)
    implements StringTemplate.Processor<PreparedStatement, SQLException> {

      public PreparedStatement process(StringTemplate st) throws SQLException {
        // 1. Replace StringTemplate placeholders with PreparedStatement placeholders
        String query = String.join("?", st.fragments());

        // 2. Create the PreparedStatement on the connection
        PreparedStatement ps = conn.prepareStatement(query);

        // 3. Set parameters of the PreparedStatement
        int index = 1;
        for (Object value : st.values()) {
            switch (value) {
                case Integer i -> ps.setInt(index++, i);
                case Float f   -> ps.setFloat(index++, f);
                case Double d  -> ps.setDouble(index++, d);
                case Boolean b -> ps.setBoolean(index++, b);
                default        -> ps.setString(index++, String.valueOf(value));
            }
        }
        return ps;
    }
  }     

次の例は、QueryBuilderテンプレート・プロセッサを使用する点を除き、getSupplierInfoの例と同様です。

  public static void getSupplierInfoST(Connection con, String supName) throws SQLException {
      var DB = new QueryBuilder(con);
      try (PreparedStatement ps = DB."SELECT * from SUPPLIERS s WHERE s.SUP_NAME = \{supName}") {
        ResultSet rs = ps.executeQuery();
        System.out.println("ID   " +
                           "Name                       " +
                           "Street               " +
                           "City          State  Zip");
        while (rs.next()) {
          int supplierID = rs.getInt("SUP_ID");
          String supplierName = rs.getString("SUP_NAME");
          String street = rs.getString("STREET");
          String city = rs.getString("CITY");
          String state = rs.getString("STATE");
          String zip = rs.getString("ZIP");
          String supRow = FormatProcessor.FMT."%-4s\{supplierID} %-26s\{
            supplierName} %-20s\{street} %-13s\{city} %-6s\{state} \{zip}";
          System.out.println(supRow);
        }
      } catch (SQLException e) {
        JDBCTutorialUtilities.printSQLException(e);
    }
  } 

次のテンプレート・プロセッサLocalizationProcessorは、文字列をリソース・バンドルの対応するプロパティにマップします。このテンプレート・プロセッサを使用する場合、リソース・バンドルでは、プロパティ名はアプリケーション内の文字列テンプレートであり、埋込み式はアンダースコア(_)で置換され、スペースはピリオド(.)で置換されます。

record LocalizationProcessor(Locale locale)
    implements StringTemplate.Processor<String, RuntimeException> {
    
    public String process(StringTemplate st) {
        ResourceBundle resource = ResourceBundle.getBundle("resources", locale);
        String stencil = String.join("_", st.fragments());
        String msgFormat = resource.getString(stencil.replace(' ', '.'));
        return MessageFormat.format(msgFormat, st.values().toArray());
    }
}

次のリソース・バンドルがあるとします。

# resources_en_US.properties file
_.chose.option._=\
    {0} chose option {1}

# resources_fr_CA.properties file
_.chose.option._=\
    {0} a choisi l''option {1}

次の例では、LocalizationProcessorおよびこれらの2つのリソース・バンドルを使用します:

var userLocale = new Locale("en", "US");
var LOCALIZE = new LocalizationProcessor(userLocale);

String user = "Duke", option = "b";
System.out.println(LOCALIZE."\{user} chose option \{option}");  
    
userLocale = new Locale("fr", "CA");
LOCALIZE = new LocalizationProcessor(userLocale);
System.out.println(LOCALIZE."\{user} chose option \{option}"); 

出力は次のようになります。

Duke chose option b
Duke a choisi l'option b