Dremio SQL 注入漏洞

问：

我想通过使用 Dremio 的 Spring Java 应用程序查询包含 parquet 文件的 S3 存储。这些是具有用户给定参数的动态查询。 我使用 Apache Arrow SQl 驱动程序，只需使用以下属性实例化即可运行查询：JdbcTemplateDataSource

  driver-class-name: org.apache.arrow.driver.jdbc.ArrowFlightJdbcDriver
  url: jdbc:arrow-flight-sql://localhost:32010/?useEncryption=false
  username: user
  password: pwd

对于 sql 字符串，我使用使用用户给定值格式化的字符串：

"SELECT * FROM "my-s3-storage".table t WHERE t.description = '%s';".formatted(userInput)

它运行良好，但毋庸置疑，它的 SQL 注入机会有多大。如果我尝试使用预准备语句：

String sql = "SELECT * FROM "my-s3-storage".table t WHERE t.description = ?"
jdbcTemplate.query(sql, ps -> ps.setString(1, userInput), rs -> {
  //handling the result set
});

我收到以下错误：

cfjd.org.apache.arrow.flight.FlightRuntimeException: Cannot convert RexNode to equivalent Dremio expression. RexNode Class: org.apache.calcite.rex.RexDynamicParam, RexNode Digest: ?0

我在网上发现了模棱两可的信息。在一些论坛上可以找到 Dremio 不支持预处理语句的说法，但所有这些评论都已有好几年的历史了，甚至 Dremio 官方网站也有一篇文章推荐使用预处理语句。

据我所知，Dremio 在后台使用 ANSI SQL，我相信它支持准备好的语句。或者这是否取决于数据库引擎而不是方言？谁能确认 Dremio 仍然不可能？然后我就不再追究了。

如果是这样的话，我将转义不安全的字符，使用词汇表来编码和解码用户给定的字符等。 但是，如果您有其他一些建议或经验，可以在没有准备好语句的情况下缓解 SQL 注入，我也会不胜感激！

谢谢！