在JDBC中使用preparedStatement防止SQL注入

一、SQL注入

SQL注入是一种比较常见的网路攻击方式，一些恶意人员在需要用户输入的地方，恶意输入SQL语句的片段，通过SQL语句，实现无账号登录，甚至篡改数据库。

二、SQL注入实例

登录场景：

在一个登录界面，要求用户输入账号和密码。

我们的代码中会有如下SQL语句：

String sql="select * from user where account='"+account+"' and password='"+password+"'";

情形1：（免账号登录）

账号：' or 1=1-- （--后面有一个空格）
密码：
当我们输入了这个账号和密码，那么SQL语句就变成：

String sql="select * from user where account='' or 1=1 -- ' and password=''";

这个查询条件就变成account=‘’ 或者1=1，这个条件是恒成立的。
后面的-- ÿ