目录
一、SQL注入
1、注入原理
利用现有应用程序,将(恶意的)SQL命令注入到后台数据库引擎执行的能力,它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行SQL语句。
2、防止SQL注入的方法
- 过滤用户输入的数据中是否包含非法字符;
- 分步校验!先使用用户名来查询用户,如果查找到了,再比较密码;
- 使用PreparedStatement接口。
特别说明:PreparedStatement接口可以将sql语句进行转译,对关键字进行处理,对’、"等进行转译
如:‘or’1’='1将会被处理为:‘or’1’='1
二、PreparedStatement接口
三、PreparedStatement的使用
- 使用Connection对象的prepareStatement(String sql):即创建它时就让它与一条SQL语句绑定;
- 编写SQL语句时,如果存在参数,使用“?”作为数据占位符;
- 调用PreparedStatement的setXXX()系列方法为占位符设置值,索引从1开始;
- 调用executeUpdate()或executeQuery()方法,但要注意,调用没有参数的方法;
四、关于PreparedStatement提高了SQL语句执行的性能说明
1、代码说明
PreparedStatement需要开启预编译功能才能有效提高SQL语句执行性能(默认为关闭状态)
开启语句:useServerPrepStmts = true
有关代码片段:
/**
* 数据库链接地址
*/
String URL = "jdbc:mysql://127.0.0.1:3306/MYSCHOOL?useServerPrepStmts = true";
String USERNAME= "root";
String PASSWORD = "123456";
// 加载驱动
Class.forName("com.mysql.jdbc.Driver");
// 链接数据库
connection = DriverManager.getConnection(URL,USERNAME,PASSWORD);
此处扩展说明:
在DriverManager.getConnection(URL,USERNAME,PASSWORD);的URL中,jdbc:mysql://127.0.0.1:3306/MYSCHOOL + ==? == + 条件 + & + 条件2 + …
举例:
String URL = "jdbc:mysql://127.0.0.1:3306/MYSCHOOL?useSSL=false&useServerPrepStmts = true";
2、开启预编译后的原理说明
- 在获取PreparedStatement对象时,将SQL语句发送给MySQL服务器进行检查,编译
- 执行时就不再进行这些步骤了,速度更快
- 如果SQL模板一样,只需要进行依次检查、编译
五、配置MySQL执行日志
在MySQL文件夹下的my.ini中添加:
log-output=FILE
general-log=1
general_log_file="D:\mysql.log"
slow-query-log=1
slow_query_log_file="D:\mysql_slow.log"
long_query_time=2
六、代码示例
try {
String url = "jdbc:mysql://127.0.0.1:3306/MYSCHOOL?useServerPrepStmts = true";
String user = "root";
String password = "123456";
// 加载驱动
Class.forName("com.mysql.jdbc.Driver");
// 链接数据库
Connection connection = DriverManager.getConnection(url,user,password);
// 设置SQL语句
String sql = "SELECT GRADENAME FROM GRADE WHERE GRADEID = ?";
// 发送验证、编译SQL语句
PreparedStatement preparedStatement = connection.prepareStatement(sql);
// ====第一句===
// 可执行的SQL语句
preparedStatement.setInt(1,1);
// 执行SQL语句、并返回结果
ResultSet resultSet = preparedStatement.executeQuery();
// ===第二句===
// 可执行的SQL语句
preparedStatement.setInt(1,2);
// 执行SQL语句、并返回结果
resultSet = preparedStatement.executeQuery();
} catch (ClassNotFoundException | SQLException e) {
e.printStackTrace();
}