SQL注入与PreparedStatement

最新推荐文章于 2024-10-13 21:08:42 发布

PPDY小芽

最新推荐文章于 2024-10-13 21:08:42 发布

阅读量192

点赞数

分类专栏： JDBC 文章标签： jdbc mysql sql 数据库

本文链接：https://blog.csdn.net/PPDY93/article/details/119255061

版权

本文探讨了SQL注入问题，通过举例展示了攻击者如何利用Statement进行注入。随后介绍了PreparedStatement，强调其在防止SQL注入方面的优势，同时指出它在灵活性和效率上的不足。总结了Statement与PreparedStatement的优缺点，为数据库操作安全提供了指导。

摘要由CSDN通过智能技术生成

一.Sql注入

利用Statement写一个用户登录，执行的sql将会是:
用户输入用户名：admin
用户输入密码： 123456
后台程序执行
select * from users where uname = ‘admin’ and pwd = ‘123456’
如果改为如下输入信息
用户输入用户名：’ or 1=1 or ’
用户输入密码： 123456
后台程序执行
select * from users where uname = ‘’ or 1=1 or ‘’ and pwd = ‘123456’
将这种情况，称之为sql注入

二.Statement

public static void select2(String names,String passwords){
        JDBCUtils jdbcUtils = new JDBCUtils();
        Connection conn = null;
        Statement stmt = null;
        ResultSet rs = null;
        try {
            Class.forName(JDBCUtils.DRIVER);
            conn = DriverManager.getConnection(JDBCUtils.URL,JDBCUtils.USER,JDBCUtils.PASSWORD);
            stmt = conn.createStatement();
            String sql = "SELECT * FROM s_student WHERE s_user = '"+names+"' OR s_password = '"+passwords+"'";
            rs = stmt.ex