常见的Web攻击方式：SQL注入、XSS跨站脚本攻击、CSRF跨站点请求伪造

常见的Web攻击有SQL注入、XSS跨站脚本攻击、跨站点请求伪造共三类，下面分别简单介绍。

1 SQL注入

1.1 原理

       SQL注入就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。SQL注入漏洞到底是以怎样的形式进行攻击的呢，接下来将以一个简单的实例来进行介绍。

       比如在一个登陆界面，有两个文本框分别用来输入用户名和密码，当用户点了登录按钮的时候，会对输入的用户名和密码进行验证。

验证的SQL语句可以简单理解为：select * from student where username=‘输入的用户名’ and password=‘输入的密码’ ，如果能够检索到数据，说明验证通过，否则验证不通过。

如果用户在用户名文本框中输入 ’ or ‘1’ = ‘1’ or ‘1’ = ‘1，则验证的SQL语句变成：select * from student where username=" or ‘1’ = ‘1’ or ‘1’ = ‘1’ and password= "
如果用户在密码文本框中输入 1 ’ or ‘1 ‘=’ 1，则验证的SQL语句变成：select * from student where username=’’ and password=‘1’ or ‘1’=‘1’
以上两个SQL语句的where条件永远是成立的，所以验证永远是有效的。

另外，如果在用户名文本框中输入 tom’ ; drop table student- -，则SQL语句变成：

select * from student where username='tom' ; 
drop table student--' and password=''

这样就变成两条SQL语句，执行完查询操作，接着直接把student表给删除了（双连接符表示注释）。

1.2 防御措施

       通过上面的描述我们就很清楚的明白，黑客如果发现平台里有SQL注入漏洞，那么我们的平台就会轻而易举的被攻破了。那么我们如何写代码，才能实现对SQL注入攻击进行更好的防御呢。下面将分别介绍下防御措施：

1、永远不要信任用户的输入

对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和双“-”进行转换等；具体表现如下：

①输入为数字参数则必须进行数字类型判断

如采用正则表达式：String characterPattern = “^\d+$”;

②输入为字符串