代码审计入门之java-sec-code（二）

1.SQL注入漏洞

SQL注入漏洞常年作为WEB应用中的普遍存在的高危漏洞，它的危害不用过多叙述，让我们查看SQLI.java内的源代码，源码内分别为我们演示了基于jdbc（Java Data Base Connectivity,java语言提供的访问关系型数据库的接口）的漏洞代码及安全代码和基于MyBatis（ 一款优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射）的漏洞代码及安全代码。

1.1 jdbc_sqli_vul方法（漏洞方法）

jdbc_sqli_vul方法是基于jdbc实现的数据库访问功能，当查看源代码时IDEA上的代码检测插件已经明确提示当前代码存在SQL注入漏洞，查询语句使用了拼接的方式，statement接口实例直接使用存在漏洞的语句进行数据库查询操作，使用payload:http://127.0.0.1:8080/sqli/jdbc/vuln?username=1%27%20or%20%271%27=%271，成功返回表内全部数据。

 

 

1.2 jdbc_sqli_sec方法（安全方法）

jdbc_sqli_sec方法使用了PreparedStatement接口来访问数据库，P