SQL语句规避拼接风险的转换方式

最新推荐文章于 2023-05-16 12:10:15 发布

VincentFanC

最新推荐文章于 2023-05-16 12:10:15 发布

阅读量376

点赞数 1

文章标签： java sql

本文链接：https://blog.csdn.net/New4eva/article/details/110878093

版权

本文介绍了如何使用参数化查询和动态SQL来避免SQL注入风险。通过示例展示了在Java中如何利用StringBuilder或StringBuffer进行安全的SQL语句拼接，以及在搜索条件中使用like操作符时的注意事项，确保了查询的安全性和灵活性。

摘要由CSDN通过智能技术生成

SQL语句规避拼接风险的转换方式

List<Example> ExampleList= null;
       try {
			String sql =" select * from demo where status!=-1";

            if (StringUtils.isNotEmpty(example)) {
                sql+=" and example='"+example+"'";
            }
            ExampleList= this.getMainDbOperator().findPageCamelCase(sql, Example.class);

常见的sql语句中的“+”在拼接字段与参数时会产生SQL注入相关风险

为了规避风险需要用到以下的转换方式

//获取所有内容列表
public List<Example> getExampleList(Integer exampleNum,String exampleName, Integer page, Integer pageSize){
		List<Example> ExampleList=null;
        List<Object> params=new ArrayList<>();
        try { 
            String sql=" select * from demo ";
            StringBuffer tempSql = new StringBuffer(sql);
            tempSql=hangSearch( tempSql,params,exampleNum, exampleName,type);
            //hangSearch 为搜索条件类 用来设置sql语句，参数以及其他搜索条件
            tempSql.append(" order by create_time desc");
            ExampleList=this.getMainDbOperator().findPageCamelCase(tempSql.toString(),Example.class,page,pageSize,params.toArray());
        }catch (Exception e){
            logger.error("获取列表出现异常",e);
        }
        return ExampleList;
    }

//获取所有内容总数
 public Long getExampleTotal(Integer exampleNum,String exampleName){
        List<Object> params=new ArrayList<>();
        Long total=0L;
        try {
            String sql=" select count(*) from demo  ";
            StringBuffer tempSql = new StringBuffer(sql);
            tempSql=hangSearch( tempSql, params,exampleNum, exampleName);
            total=this.getMainDbOperator().queryLong(tempSql.toString(),params.toArray());
        }catch (Exception e){
            logger.error("获取总数出现异常",e);
        }
        return total;
    }

/**
     * 搜索条件类
     * @param tempSql sql语句
     * @param params 参数
     * @param exampleNum 数字例名
     * @param exampleName 字符例名
     * @return sql语句
     * @author Vincent
     * @since 2020/12/08
     */
     public StringBuffer hangSearch(StringBuffer tempSql,List<Object> params,Integer exampleNum,String exampleName){
        tempSql.append(" where status <>? ");
        params.add(ConstCommon.DELETE);
        if(exampleNum!=null){
            tempSql.append(" and example_num=? ");
            params.add(exampleNum);
        }
        if(StringUtils.isNotEmpty(exampleName)){
            tempSql.append(" and example_name=? ");
            params.add(exampleName);
        }
        return tempSql;
    }

若需要变为关键词搜索也可以转换为like形式

		if(exampleNum!=null){
            tempSql.append(" and example_num like ?");
            params.add("%"+exampleNum+"%");
        }
		if(StringUtils.isNotEmpty(exampleName)){
            tempSql.append(" and example_name like ?");
            params.add("%"+exampleName+"%");
        }
       
        return tempSql;
    }