Java面试题：请解释Java中的SQL注入？如何防止SQL注入？

Java中的SQL注入是一种常见的网络攻击技术，攻击者通过在应用程序的输入字段中输入恶意的SQL代码，来破坏或操纵后端数据库的行为。这种攻击可以导致数据泄露、数据损坏甚至整个应用程序的崩溃。

SQL注入的原理

SQL注入通常发生在应用程序将用户输入直接拼接到SQL查询语句中时，而没有对输入进行适当的验证或转义。例如，一个应用程序可能允许用户通过输入字段来指定查询条件，如果这个输入没有被适当地处理，那么用户输入的恶意SQL代码就会被执行。

如何防止SQL注入

1. 使用预处理语句（Prepared Statements）：
   • 预处理语句确保所有的输入都会被当作数据处理，而不是SQL代码的一部分。使用PreparedStatement类，你可以提前编译SQL语句，并使用参数占位符?来代表输入的变量。这样可以有效地防止SQL注入，因为无论用户输入什么，它都会被当作字符串处理，而不是SQL代码。
2. 输入验证：
   • 在将用户输入应用于SQL查询之前，对输入进行验证，确保它们符合预期的格式。这可以通过正则表达式或其他验证机制来实现。
3. 使用ORM框架：
   • Object-Relational Mapping（ORM）框架如Hibernate、JPA等提供了内置的防止SQL注入的机制。它们使用映射规则将Java对象与数据库表相关联，并自动生成安全的SQL查询。
4. 参数化查询：
   • 参数化查询是一种将数据作为参数传递给SQL语句的方法，而不是直接将它们嵌入到语句中。这可以确保用户输入不会被解释为SQL代码。
5. 限制数据库权限：
   • 确保应用程序的数据库账户只有必要的权限，这样即使发生SQL注入，攻击者也不能执行DROP TABLE或其他破坏性操作。
6. 使用Web应用防火墙（WAF）：
   • Web应用防火墙可以检测和阻止SQL注入攻击。它们通常具有预配置的规则，可以识别和过滤恶意输入。
7. 安全编码实践：
   • 遵循安全编码实践，如使用专业的代码审计工具来检测潜在的安全漏洞。

示例：使用预处理语句防止SQL注入

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.SQLException;
public class SqlInjectionExample {
    public void searchById(Connection connection, int id) throws SQLException {
        String query = "SELECT * FROM users WHERE id = ?";
        PreparedStatement preparedStatement = connection.prepareStatement(query);
        preparedStatement.setInt(1, id);
        ResultSet resultSet = preparedStatement.executeQuery();
        // 处理结果集
    }
}

在这个例子中，我们使用了一个预处理语句来执行数据库查询。?是一个参数占位符，它会被prepareStatement方法的setInt方法设置的值所替换。这样，无论id的值是什么，它都会被当作一个整数来处理，而不会被解释为SQL代码。
防止SQL注入的最佳方法是结合使用上述多种策略，以创建一个多层次的安全防护体系。