JAVA程序防止SQL注入的方法

最新推荐文章于 2024-02-15 10:30:00 发布

iteye_3482

最新推荐文章于 2024-02-15 10:30:00 发布

阅读量330

点赞数

分类专栏： Java编程文章标签： java sql 安全性

本文链接：https://blog.csdn.net/iteye_3482/article/details/82473335

版权

Java编程专栏收录该内容

5 篇文章 0 订阅

订阅专栏

第一种采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setString方法传值即可：

String sql= "select * from users where username=? and password=?;
PreparedStatement preState = conn.prepareStatement(sql);
preState.setString(1, userName);
preState.setString(2, password);
ResultSet rs = preState.executeQuery();

第二种是采用正则表达式将包含有单引号(')，分号(;) 和注释符号(--)的语句给替换掉来防止SQL注入:

public static String TransactSQLInjection(String str)
{
    return str.replaceAll(".*([';]+|(--)+).*", " ");
}

userName=TransactSQLInjection(userName);
password=TransactSQLInjection(password);

String sql="select * from users where username='"+userName+"' and password='"+password+"' "
Statement sta = conn.createStatement();
ResultSet rs = sta.executeQuery(sql);

安全性：Java只要使用PreparedStatement，就不会存在注入问题。至今还没遇到用了PreparedStatement还会被注入的情况。