JAVA中的基础----SQL注入的攻击与防御

本文结合实例，讲述在Web应用开发过程中，SQL注入的基本原理、攻击方式及防御手段。梳理知识的同时，纪念一下咱们的1024程序员节。

B/S（浏览器/服务器）模式，属于当前最常见、应用最广泛的网络应用服务形式。web应用服务通常都会向用户提供接口，用于用户鉴权、查询等基础功能，而这些功能则为SQL注入缺陷提供了前提条件。

1）SQL注入的概念

所谓SQL注入（sql injection），即通过精心的构造数据库查询代码，查询到更多的网站数据。

SQL注入攻击的含义也就显而易见，即恶意浏览者通过构造数据库查询代码，获取网站的敏感数据，甚至通过网站的一些现有功能恶意的删除数据。

示例：

比如说：查询项目信息

projects数据库表用存放项目信息,那么程序中经常会通过id查数据。id就是url种传递的参数。

如果id传入的参数为1

类似：select  *  from projects where id= '1';返回id为1的项目信息。

但是如果id传入的参数为 ' or  '1'='1

就会执行：select * from projects where id=' ' or '1'='1';会返回全部的项目信息。

2）SQL注入攻击手段

第一步