防止SQL注入-字符串过滤法

防止SQL注入-字符串过滤法

例如

SELECT * FROM user_table WHERE username=

‘’ or 1 = 1 – —and password=’’

危害

通过SQL语句，实现无帐号登录，甚至篡改数据库。

方案一：通常预编译处理。setParem

sql注入只对sql语句的准备(编译)过程有破坏作用
而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,
而不再对sql语句进行解析,准备,因此也就避免了sql注入问题.

方案二：字符串过滤
js处理

public static boolean sql_inj(String str){

String inj_str = "'|and|exec|insert|select|delete|update|

count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";

String inj_stra[] = split(inj_str,"|");

for (int i=0 ; i < inj_stra.length ; i++ ){

if (str.indexOf(inj_stra[i])>=0){

return true;

}

}

return false;

}

 

java处理

public static boolean sql_inj(String str){

String inj_str = "and,exec,insert,select,delete,update,

count,*,%,chr,mid,master,truncate,char,declare,;,or,-,+,";

String inj_stra[] = inj_str.split(",");

for (int i=0 ; i < inj_stra.length ; i++ ){

if (str.indexOf(inj_stra[i])>=0){

return true;

}

}

return false;

}

获取参数后对参数过滤处理，防止sql注入；

参考

https://www.cnblogs.com/pressur/p/11226392.html