検索ボックスに「%」「_」を入れて検索できない

Question

【問題】
Springでページネーションを踏まえた検索機能を作成しています。
文字列「%」「」の記号を検索ボックスに入れた時、
「%」「」で検索されず、全件検索結果が取得されてます。

恐らくエスケープ文字と識別されている事が原因だと思っていますが、
どのようにコードを訂正すれば良いかわかりません。
どなたかご教示をお願いいたします。

【進捗状況】
・JPAを使用してDBからデータ取得を行っており、問題のエスケープ文字以外は問題なく表示できます
・ページネーションのコーディングも終わっており、最終検証の段階で【問題】を発見いたしました

【使用言語/ツール】
・Java
・MYSQL
・Spring Boot
・STS(spring tools site)

【ソースコード】
参考コード
・TaskController(Controller)
・TaskRepository(Repository)
※参考コードは回答に応じて追加します

TaskController(Controller)

@Service
@Transactional
public class TaskService {

	@Autowired
	private TaskRepository taskrepository;
	@Autowired
	private TaskSpecification taskspecification;

      public Page<TaskEntity> searchmaterial(String title, String titleKana,Pageable pageable) {
		return (Page<TaskEntity>) taskrepository.findAll(Specification
		        .where(taskspecification.titleContains(title))
		        .and(taskspecification.titleKanaContains(titleKana))
		        ,pageable
		        );
	}
}

TaskRepository(Repository)

@Repository
public interface TaskRepository extends JpaRepository<TaskEntity,Long>, JpaSpecificationExecutor<TaskEntity>{

        Page<TaskEntity> findByTitleAndTitleKana(String title, String titleKana, Pageable pageable);


}

Answer 1

★★★　注意　★★★

xebme さんのご指摘にある通り、ユーザー入力に「%」、「_」を許すことは、SQL インジェクションの危険性があります。以下のリンクが適切かどうか、精査できていませんが、参考になれば幸いです。

• 完全なSQLインジェクション対策 – yohgaki's blog

「とにかくプレイスホルダを使おう」では脆弱性は無くなりません。

• 気になるJava　分かったつもりで終われない。　Spring Data JPA JPQLインジェクション対策

以下、そういった危険性を承知の上、かつ、外部に公開しないような限定されたところで利用したいというニーズに対する回答とご理解ください。

【最初の回答】
メソッド名が LIKE 検索用になっていないような気が。

【Spring Data JPA】自動実装されるメソッドの命名ルール - Qiitaあたりとか、参考にならないでしょうか。

【追記】

TaskService が呼び出しているのが、taskrepository.findAll() なので TaskRepository で追加で定義したメソッドが使われるように修正する必要がありそうです。

【追記その２】

しかし、冒頭でアドバイスを頂いた「TaskRepository で追加で定義したメソッドが使われるように修正する必要がありそう」に関して、taskrepository.findAll() をどのように変更すれば良いかがわかりません。

以下、動作確認はしていませんが。以下のように直した場合の動作を確認してみてください。

@Service
@Transactional
public class TaskService {

    @Autowired
    private TaskRepository taskrepository;
    @Autowired
    private TaskSpecification taskspecification;

      public Page<TaskEntity> searchmaterial(String title, String titleKana,Pageable pageable) {
        return taskrepository.findByTitleAndTitleKana(title,　titleKana, pageable);
    }
}

　ただし、この修正だとこれまでの「%」、「_」を使わない入力における部分一致検索が使えません。
xebme さんが

さらに、検索条件を調べて、%_があればLIKE検索、なければ通常検索にしなければならず、ここにも設計不備があると思われます。

と書かれている通り、条件分岐が必要になると思います。

Comments

[engnao]

Yasumichiさん
情報共有ありがとうございます。
頂きました資料を基にコードを書きましたが、変わらず「%」「_」の検索結果を取得できませんでした。ソースコードの訂正方法が間違っているのでしょうか?
【訂正前】
Page<TaskEntity> findByTitleAndTitleKana(String title, String titleKana, Pageable pageable);
【訂正後】
Page<TaskEntity> findByTitleAndTitleKanaNotLike(String title, String titleKana, Pageable pageable);

[Yasumichi]

TaskService が呼び出しているのが、taskrepository.findAll() なので TaskRepository で追加で定義したメソッドが使われるように修正する必要がありそうです。

以下、それが、修正されていると仮定して。

細かい仕様が不明なので判断に悩むところですが、現在の訂正方法だと TitleKana フィールドで NOT LIKE （マッチしないものを探す）検索を行うように見えますが、意図したとおりでしょうか？

例えば、Title および TitleKana の両方で LIKE 検索（マッチするものを探す）のであれば、

findByTitleLikeAndTitleKanaLike

になると思います。

あと、まだ検証できていないので可能性の推測ですが、TaskService に渡っている title または titleKana に含まれる % や _ がサニタイズ（無害化）されていないか、気になる所です。
　一度、title や titleKana がどのような値になっているのか、デバッグやログ出力で確認してみてはいかがでしょうか？

[xebme]

SQL構文の%_を入力できることはSQLインジェクションを可能にするので、セキュリティに問題があります。さらに、検索条件を調べて、%_があればLIKE検索、なければ通常検索にしなければならず、ここにも設計不備があると思われます。

[engnao]

Yasumichiさん
ご丁寧に回答ありがとうございます。
TaskRepository に追加するメソッドについて、Title および TitleKana の両方で LIKE 検索 を行いたいので、findByTitleLikeAndTitleKanaLike に変更しました。

また、TaskService に渡っている title 及び titleKana に含まれる % や _ をデバッグで確認した所、サニタイズされてなく値に% や _ が設定されている事を確認しました。

しかし、冒頭でアドバイスを頂いた「TaskRepository で追加で定義したメソッドが使われるように修正する必要がありそう」に関して、taskrepository.findAll() をどのように変更すれば良いかがわかりません。
初歩的な内容で大変恐縮ですが、変更方法を教えて頂きたいです。
よろしくお願いいたします。

[engnao]

Yasumichiさん
xebmeさん
ご丁寧にご回答ありがとうございます。
頂いた内容通り訂正を試みましたが、org.apache.commons.lang3.StringUtils を使用して解決できるようでしたので、StringUtils でエスケープ文字「%」「_」をリプレースする事により、問題を解決いたしました。
本当にありがとうございました。

Answer 2

Yasumichiさん
xebmeさん
ご丁寧にご回答ありがとうございます。
頂いた内容通り訂正を試みましたが、org.apache.commons.lang3.StringUtils を使用して解決できるようでしたので、StringUtils でエスケープ文字「%」「_」をリプレースする事により、問題を解決いたしました。
本当にありがとうございました。