JDBC-SQL注入攻击问题及解决方案

最新推荐文章于 2024-08-12 21:26:50 发布

Fly_Fly_Zhang

最新推荐文章于 2024-08-12 21:26:50 发布

阅读量771

点赞数 2

分类专栏： JDBC

本文链接：https://blog.csdn.net/Fly_Fly_Zhang/article/details/95018853

版权

本文介绍了SQL注入的概念，通过示例展示了SQL注入攻击的可能性。为了解决这个问题，文章推荐使用预编译的PreparedStatement对象，详细阐述了其优势，包括防止SQL注入、提高执行效率和提升代码的优雅性。此外，还对比了PreparedStatement与Statement的区别，并提供了相关代码演示。

摘要由CSDN通过智能技术生成

什么是SQL注入：

由于dao层中执行的SQL语句是拼接出来的，其中一部分内容是用户从用户端输入的，当传入数据包含SQL关键字时，就有可能通过这些关键字来改变SQL的语义，从而执行一些特殊的操作，这就称为SQL注入问题。

SQL注入攻击演示：

首先我们创建一张用户表，里面包含用户名和密码。

mysql> select * from user;
+----------+----------+
| username | password |
+----------+----------+
| 满满     |   123456 |
+----------+----------+
1 row in set (0.00 sec)

正常查询：

package com.JDBC;

import java.sql.*;

/**
 * @Created with IntelliJ IDEA
 * @Description:
 * @Package: com.JDBC
 * @author: FLy-Fly-Zhang
 * @Date: 2019/7/6
 * @Time: 18:03
 */
public class JDBCDemo1 {
   
    public static boolean login(String userName,String passwd){
   
        boolean result=false;
        try {
   
            Class.forName("com.mysql.cj.jdbc.Driver");
            Connection connection =DriverManager.getConnection("jdbc:mysql://localhost:3306/sqldemo?SSL=false&serverTimezone=UTC","root","123456");
            String sql="select * from user where username="+userName+"and password="+passwd;
            Statement statement=connection.createStatement();
            ResultSet resultSet=statement.executeQuery(sql);
            if(res