数据库防注入

web安全

1.XSS（cross site scripting,跨站脚本攻击），攻击者在web里插入恶意的script代码。

原因：XSS之所以发生，是因为用户输入的数据变成了代码。

2.参数化查询或存储过程

Java提供了 Statement、PreparedStatement 和 CallableStatement三种方式来执行查询语句，其中 Statement 用于通用查询， PreparedStatement 用于执行参数化查询，而 CallableStatement则是用于存储过程。

使用PreparedStatement的参数化的查询可以阻止大部分的SQL注入。在使用参数化查询的情况下，数据库系统（eg:MySQL）不会将参数的内容视为SQL指令的一部分来处理，而是在数据库完成SQL指令的编译后，才套用参数运行，因此就算参数中含有破坏性的指令，也不会被数据库所运行。

参考：http://www.cnblogs.com/SarahLiu/p/5892689.html