深入理解JDBC API：从SQL注入到PreparedStatement的安全解决方案

公告

View Post

引言

在现代Web应用开发中，数据库操作是不可或缺的一部分。Java数据库连接（JDBC）API为Java开发者提供了一种与数据库交互的标准方式。然而，随着应用的复杂性增加，安全问题也随之而来。其中，SQL注入是最常见且危险的安全漏洞之一。本文将深入探讨SQL注入的原理，并介绍如何通过使用JDBC的PreparedStatement来有效防止SQL注入，从而提升应用的安全性和性能。

什么是SQL注入？

问题引入

想象一下，你正在开发一个用户登录系统。用户输入用户名和密码后，系统会执行一条SQL查询语句来验证用户的身份。如果用户输入的用户名是admin，密码是123456，那么SQL查询语句可能是这样的：

SELECT * FROM users WHERE username = 'admin' AND password = '123456';

这条语句会返回匹配的用户信息，从而允许用户登录。

SQL注入的原理

然而，如果用户在输入密码时故意添加一些SQL关键字，比如：

' OR '1'='1

那么拼接后的SQL语句将变成：

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1';

由于'1'='1'始终为真，这条语句将返回所有用户的信息，从而绕过了密码验证，导致安全漏洞。

简单来说

SQL注入就是用户在输入数据时，通过添加特殊字符或SQL关键字，改变了SQL语句的结构，从而达到恶意操作数据库的目的。

JDBC API中的SQL注入风险

示例代码

以下是一个简单的JDBC代码示例，展示了如何使用Statement对象执行SQL查询：

public class App {
    public static void main(String[] args) {
        Connection connection = null;
        Statement statement = null;
        ResultSet resultSet = null;
        try {
            // 注册驱动
            Class.forName("com.mysql.cj.jdbc.Driver");

            // 获取连接
            connection = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3307/db1", "root", "928151");

            // 定义SQL语句
            String username = "admin";
            String password = "123456";
            String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

            // 获取执行SQL对象
            statement = connection.createStatement();

            // 执行SQL语句
            resultSet = statement.executeQuery(sql);

            // 处理结果集
            if (resultSet.next()) {
                System.out.println("登录成功");
            } else {
                System.out.println("登录失败");
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            // 释放资源
            try {
                if (resultSet != null) resultSet.close();
                if (statement != null) statement.close();
                if (connection != null) connection.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

风险分析

在这个示例中，如果用户输入的密码是' OR '1'='1，那么SQL语句将变成：

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1';

这将导致查询返回所有用户的信息，从而绕过登录验证。

使用PreparedStatement防止SQL注入

PreparedStatement的优势

PreparedStatement是Statement的子接口，它提供了防止SQL注入的能力。其核心优势在于：

预编译SQL：PreparedStatement在获取对象时，会将SQL语句发送给数据库进行检查和编译，这使得后续执行时速度更快。
防止SQL注入：PreparedStatement通过将用户输入的敏感字符进行转义，避免了SQL注入的风险。

使用PreparedStatement的步骤

步骤一：创建SQL模板

首先，创建一个包含占位符的SQL模板。占位符使用?表示，例如：

SELECT * FROM users WHERE username = ? AND password = ?;

步骤二：获取PreparedStatement对象

使用Connection对象的prepareStatement(sql)方法获取PreparedStatement对象：

PreparedStatement preparedStatement = connection.prepareStatement(SQL);

步骤三：设置参数

在执行SQL之前，使用setXXX方法为占位符设置具体的值。例如：

preparedStatement.setString(1, username);
preparedStatement.setString(2, password);

步骤四：执行SQL

执行SQL语句，不需要再传递SQL字符串：

ResultSet resultSet = preparedStatement.executeQuery();

示例代码

以下是使用PreparedStatement防止SQL注入的完整示例：

public class App {
    private static final String SQL = "SELECT * FROM users WHERE username = ? AND password = ?";

    public static void main(String[] args) {
        try (
                Connection connection = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3307/db1", "root", "928151");
                PreparedStatement preparedStatement = connection.prepareStatement(SQL)
        ) {
            // 获取用户输入
            String username = getInput("Please Enter username:");
            String password = getInput("Please Enter password:");

            // 设置查询参数
            preparedStatement.setString(1, username);
            preparedStatement.setString(2, password);

            // 处理查询结果
            processResult(preparedStatement);
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }

    private static void processResult(PreparedStatement preparedStatement) throws SQLException {
        try (ResultSet resultSet = preparedStatement.executeQuery()) {
            if (resultSet.next()) {
                System.out.println("登录成功");
            } else {
                System.out.println("登录失败");
            }
        }
    }

    private static String getInput(String prompt) {
        Scanner scanner = new Scanner(System.in);
        System.out.println(prompt);
        return scanner.nextLine();
    }
}

原理分析

PreparedStatement通过预编译SQL语句，将用户输入的参数与SQL语句分离，从而避免了SQL注入的风险。具体来说：

预编译：在获取PreparedStatement对象时，SQL语句会被发送给数据库进行检查和编译。
参数绑定：用户输入的参数通过setXXX方法绑定到SQL语句中，而不是直接拼接在SQL字符串中。
转义处理：数据库会对用户输入的参数进行转义处理，防止恶意字符的注入。

验证

 sql = "select *from tb_user where username = 'admin' -- and password = '123456'";
 preparedStatement.setString(1, "admin --");

PreparedStatement 效率高还能防止SQL注入

点击查看代码

package a_jdbc_statement;

import org.junit.Test;

public class App {
    @Test
    public void testSQL_Inject() {

        JDBCUtil.testStatement();
        System.out.println("-----------------------------------------");
        JDBCUtil.testPreStatement();
    }
}

点击查看代码

package a_jdbc_statement;

import java.sql.*;
import java.util.Objects;

public class JDBCUtil {

    public static String URL = null;
    public static String USER = "root";
    public static String PASSWORD = "928151";
    public static String sql = null;


    public static void testStatement() {

        System.out.println("testStatement");

        sql = "select *from tb_user where username = 'admin' and password = '123456'";

        executeQuery(sql, false);
    }

    public static void testPreStatement() {

        System.out.println("testPreStatement");

        sql = "select *from tb_user where username = ? and password = ?";

        executeQuery(sql, true);
    }

    public static void executeQuery(String sql, boolean isPrepared) {

        Connection connection = null;
        Statement statement = null;
        PreparedStatement preparedStatement = null;
        ResultSet resultSet = null;
        try {


            if (isPrepared) {
                long start = System.currentTimeMillis();
                URL = "jdbc:mysql://127.0.0.1:3309/db_jdbc?useSSL=true&useServerPrepStmts=true";
                connection = DriverManager.getConnection(URL, USER, PASSWORD);

                preparedStatement = connection.prepareStatement(sql);
                preparedStatement.setString(1, "admin");
                preparedStatement.setString(2, "123456");
                resultSet = preparedStatement.executeQuery();
                if (resultSet.next())
                    System.out.println("Login Successful~~~");
                else
                    System.out.println("Login Failure~~~");

                long end = System.currentTimeMillis();

                System.out.println("TimeConsuming:" + (end - start) + "ms");
            } else {
                long start = System.currentTimeMillis();
                URL = "jdbc:mysql://127.0.0.1:3309/db_jdbc?useSSL=true";
                connection = DriverManager.getConnection(URL, USER, PASSWORD);

                statement = connection.createStatement();
                resultSet = statement.executeQuery(sql);
                if (resultSet.next())
                    System.out.println("Login Successful~~~");
                else
                    System.out.println("Login Failure~~~");

                long end = System.currentTimeMillis();

                System.out.println("TimeConsuming:" + (end - start) + "ms");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            closeResources(resultSet, statement, preparedStatement, connection);
        }


    }

    public static void closeResources(ResultSet resultSet, Statement statement, PreparedStatement preparedStatement, Connection connection) {
        try {
            if (!Objects.isNull(resultSet))
                resultSet.close();
            if (!Objects.isNull(statement))
                statement.close();
            if (!Objects.isNull(preparedStatement))
                preparedStatement.close();
            if (!Objects.isNull(connection))
                connection.close();

        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

总结

SQL注入是Web应用中常见的安全漏洞，可能导致严重的数据泄露和系统破坏。通过使用JDBC的PreparedStatement，我们可以有效防止SQL注入，提升应用的安全性和性能。PreparedStatement不仅提供了预编译SQL的能力，还通过参数绑定和转义处理，确保了用户输入的安全性。

在实际开发中，建议始终使用PreparedStatement来执行SQL查询，避免使用Statement拼接SQL字符串，从而构建更加安全可靠的应用。

参考资料

希望本文能帮助你更好地理解JDBC API中的SQL注入问题，并掌握使用PreparedStatement来提升应用安全性的方法。

posted on 2024-11-24 10:50 周政然阅读(213) 评论(0) 收藏举报

刷新页面返回顶部

奋斗的软件工程师

公告

View Post