SQL注入问题及解决方案

SQL注入

用户输入的内容, 在SQL语句拼接过程中, 完成了一条逻辑发生变化的新的SQL语句 !

例如:

原SQL语句拼接为:

String sql = "select id from user15 where username='"+user.getUserName()+"' and password='"+user.getPassWord()+"'";

用户输入的帐号密码分别为:

请输入您的帐号:
suibian
请输入您的密码:
suibian' or '1'='1
组成的SQL语句:
select id from user15 where username='suibian' and password='suibian' or '1'='1'

解决SQL注入问题

使用预编译SQL语句 进行参数的传递

更改执行环境 Statement

使用新的环境: PreparedStatement

在通过连接对象 获取一个预编译的SQL环境(PreparedStatement)时, 需要传递 一个SQL语句 !
在这个语句中 可以出现? , ? 表示准备填充的参数值!

使用步骤:

1. 通过连接对象, 获得一个预编译的SQL执行环境

PreparedStatement state conn.prepareStatement(sql);

例如:
String sql = "select id from user15 where username=? and password=?";

PreparedStatement state = conn.prepareStatement(sql);

2. 向预编译参数列表中 传递值:

预编译的SQL语句中可以包含0-n个问号, 每一个问号表示一个需要传递的值
我们通过PreparedStatement它的setXXX方法,来完成参数的传递
在传递参数时, 需要指定问号的索引, 问号的索引从1开始

例如:
state.setString(1,user.getUserName());
state.setString(2,user.getPassWord());

3. 执行语句:
ResultSet result = state.executeQuery();

PreparedStatement

常用方法:

填充预编译的参数:

- setXXX(问号索引,值)
向预编译的SQL的?中传递值
参数1. 问号的索引 ,从1开始
参数2. 填充到? 中的值

- execute()
- executeUpdate();
- executeQuery();
上面的三个方法 与 Statement中方法的含义一致, 只不过不存在参数!