如何在开发中避免SQL注入

如何避免SQL注入攻击

可以使用Statement中的子接口实现类PreparedStatement来避免SQL注入攻击

PreparedStatement

表示预编译的SQL语句的对象，Sql语句是预编译的，并且存储在PreparedStatement对象中，这个对象可以多次有效的执行这个SQL语句。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;

public class PreparedStatementDemo {

    private static String className = "com.mysql.jdbc.Driver";
    private static String password = "123";
    private static String user = "root";
    private static String url = "jdbc:mysql://localhost:3306/mydb";

    public static void main(String[] args) throws Exception {
        //注册驱动
        Class.forName(className);
        //获取连接数据库的对象
        Connection conn =  DriverManager.getConnection(url, user, password);
        String sql = "SELECT * FROM userInfo WHERE username=? AND password=?";
        //获取SQL语句执行对象
        PreparedStatement pst = conn.prepareStatement(sql);
        pst.setString(1, "zhangsan");
        pst.setString(2, "123456");

        ResultSet rs = pst.executeQuery();
        System.out.println("用户名\t密码");
        while(rs.next()) {
            System.out.println(rs.getString("username") + "\t" + rs.getString("password"));
        }

        rs.close();
        pst.close();
        conn.close();
    }

}

在上面的代码里，?表示的是占位符，不再像Statement中那样直接使用变量

再后来的setXXX的时候XXX的类型要与数据库中的类型相一致， 否则会出错。

同时使用PreparedStatement之后不再向executeXXX()传递SQL语句参数。

使用PreparedStatement为数据表中新增一条数据

sql = "INSERT INTO userInfo(username, password) VALUES(?, ?)";
Scanner in = new Scanner(System.in);
String usernameStr = in.nextLine();
String passwordStr = in.nextLine();
pst = conn.prepareStatement(sql);
pst.setString(1, usernameStr);
pst.setString(2, passwordStr);
int len = pst.executeUpdate();
System.out.println("修改了"+len+"条数据！");
sql = " SELECT * FROM userInfo";
pst = conn.prepareStatement(sql);
rs =  pst.executeQuery();
System.out.println("用户名\t密码");
while(rs.next()) {
    System.out.println(rs.getString("username") + "\t" + rs.getString("password"));
}