Jdbc初测试（二）

一、SQL注入

1、注入原理

利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

2、防止SQL注入的方法

1.过滤用户输入的数据中是否包含非法字符；
2.分步校验！先使用用户名来查询用户，如果查找到了，再比较密码；
3.使用PreparedStatement接口。

特别说明：PreparedStatement接口可以将sql语句进行转译，对关键字进行处理，对’、"等进行转译
如：‘or’1’='1将会被处理为：‘or’1’='1
 

二、PreparedStatement接口

三、PreparedStatement的使用

使用Connection对象的prepareStatement(String sql)：即创建它时就让它与一条SQL语句绑定；
编写SQL语句时，如果存在参数，使用“？”作为数据占位符；
调用PreparedStatement的setXXX()系列方法为占位符设置值，索引从1开始；
调用executeUpdate()或executeQuer