JDBC3——SQL注入、及其解决方法——Statement与PreparedStatement对比——PreparedStatement的CRUD

最新推荐文章于 2023-02-04 00:04:46 发布
最新推荐文章于 2023-02-04 00:04:46 发布
阅读量293 收藏 1
点赞数
分类专栏： JDBC 文章标签： java mysql jdbc
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_38057941/article/details/109134871
版权

1.用户登陆系统演示—Statement—SQL注入

1.1.需求：
  •  模拟用户登陆功能的实现
  • 用户名：zhangsan
  • 密码：123
1.2.业务描述：
  •  程序运行的时候，提供一个输入的入口，可以让用户输入用户名、密码
 输入后，提交信息，java程序搜集到用户信息

  •  JAVA程序连接数据库验证是否合法
 	 合法：显示登陆成功
 	 非法：显示登陆失败
1.3.本程序存在的问题—— 存在SQL语句注入现象
  • 用户名：a
  • 密码：b’ or ‘1’='1
  • 会登录成功
1.4.导致SQL语句注入的根本原因：
  • 用户输入的东西，含有sql关键字，而且编译进去了，导致系统原来的意思被扭曲！！！！
1.5.解决方法：
  • 只要用户输入的SQL关键字不编译进去就可以了
    1.6.执行结果
  • 正确实例：
    在这里插入图片描述
  • 错误结果：
    在这里插入图片描述
public class JDBCTestSqlInject {
    public static void main(String[] args) {
        //1.输入信息
        Map<String, String> userLoginInfo = inintUI();

        //2.验证信息是否正确
        boolean loginSuccess = login(userLoginInfo);
        System.out.println(loginSuccess ? "登陆成功" : "登陆失败");

    }
        /**
         * 验证用户名，密码是否正确
         * @param userLoginInfo
         * @return
         */
        private static boolean login (Map < String, String > userLoginInfo){
            boolean flag=false;
            String  loginName = userLoginInfo.get("loginName");
            String  loginPwd = userLoginInfo.get("loginPwd");
            //JDBC代码
            Connection conn = null;
            Statement stmt = null;
            ResultSet rs = null;


            try {
                //1.注册驱动（作用：告诉java程序，即将要连接哪个品牌的数据库）
                Class.forName("com.mysql.jdbc.Driver");
                //2.获取连接（表示JVM的进程和数据库进程之间的  通道 打开了，使用完之后  必须关闭）
                String url = "jdbc:mysql://localhost:3306/bjpowernode"; //自己的地址链接
                String user = "root";
                String password = "333";
                conn = DriverManager.getConnection(url,user,password);
                //3.获取数据库操作对象（专门执行sql语句的对象）
                stmt = conn.createStatement();
                //4.执行sql语句（主要执行DQL、DML……）
                String sql = " select * from t_user where loginName ='"+ loginName +"'and loginPwd ='"+ loginPwd +"'";
                System.out.println(sql);

                //5.处理查询结果集（只有当第4步执行的是select语句时，才有这第5步）
                rs = stmt.executeQuery(sql); //专门执行DQL查询语句

                if(rs.next()){
                    flag = true;
                }

            } catch (Exception e) {
                e.printStackTrace();
            } finally {
                //6.释放资源（使用完资源后一定要关闭资源，java和数据库属于进程间通信，开启后一定要关闭）
                try{
                    if(stmt != null)
                        stmt.close();
                } catch (SQLException throwables) {
                    throwables.printStackTrace();
                }

                try{
                    if(conn != null)
                        conn.close();
                } catch (SQLException throwables) {
                    throwables.printStackTrace();
                }

                try{
                    if(rs != null)
                        rs.close();
                } catch (SQLException throwables) {
                    throwables.printStackTrace();
                }
            }

            return flag;

        }

        /**
         * 初始化用户界面
         * @return 用户输入用户名、密码等信息
         */
        private static Map<String, String> inintUI () {
            Scanner s = new Scanner(System.in);

            System.out.print("用户名：");
            String loginName = s.nextLine();
            System.out.print("密码：");
            String loginPwd = s.nextLine();

            Map<String, String> userLoginInfo = new HashMap<>();

            userLoginInfo.put("loginName",loginName);
            userLoginInfo.put("loginPwd",loginPwd);

            return userLoginInfo;

        }

}

2.SQL注入的解决——PreparedStatement

2.1.改动1——Statement改为PreparedStatement
  •   //        Statement stmt = null;
  PreparedStatement stmt = null;
2.2.改动：2——改为占位符—?
  •   //String sql = " select * from t_user where loginName ='"+ loginName +"'and loginPwd ='"+ loginPwd +"'";
  //一个问号表示一个占位符
  String sql = " select * from t_user where loginName = ? and loginPwd = ? ";
2.3.改动：3——prepareStatement进行预编译
  •   // stmt = conn.createStatement();
  //程序执行到此，会发送sql语句”框子“给DBMS，然后它进行‘预编译
  stmt = conn.prepareStatement(sql);
2.4.改动：4—— 给占位符传值
  •   stmt.setString(1,loginName);
  stmt.setString(2,loginPwd);

public class JDBCTestSqlInjectSolve {
    public static void main(String[] args) {
        //1.输入信息
        Map<String, String> userLoginInfo = inintUI();

        //2.验证信息是否正确
        boolean loginSuccess = login(userLoginInfo);
        System.out.println(loginSuccess ? "登陆成功" : "登陆失败");

    }
    /**
     * 验证用户名，密码是否正确
     * @param userLoginInfo
     * @return
     */
    private static boolean login (Map < String, String > userLoginInfo){
        boolean flag=false;
        String  loginName = userLoginInfo.get("loginName");
        String  loginPwd = userLoginInfo.get("loginPwd");
        //JDBC代码
        Connection conn = null;
//改动1：
//        Statement stmt = null;
        PreparedStatement stmt = null;

        ResultSet rs = null;


        try {
            //1.注册驱动（作用：告诉java程序，即将要连接哪个品牌的数据库）
            Class.forName("com.mysql.jdbc.Driver");
            //2.获取连接（表示JVM的进程和数据库进程之间的  通道 打开了，使用完之后  必须关闭）
            String url = "jdbc:mysql://localhost:3306/bjpowernode"; //自己的地址链接
            String user = "root";
            String password = "333";
            conn = DriverManager.getConnection(url,user,password);
            //3.获取数据库操作对象（专门执行sql语句的对象）

//改动：2
//            String sql = " select * from t_user where loginName ='"+ loginName +"'and loginPwd ='"+ loginPwd +"'";
            //一个问号表示一个占位符
            String sql = " select * from t_user where loginName = ? and loginPwd = ? ";
//改动：3
//            stmt = conn.createStatement();
            //程序执行到此，会发送sql语句”框子“给DBMS，然后它进行‘预编译
            stmt = conn.prepareStatement(sql);
//改动：4      给占位符传值
            stmt.setString(1,loginName);
            stmt.setString(2,loginPwd);


            //4.执行sql语句（主要执行DQL、DML……）
            rs = stmt.executeQuery(); //专门执行DQL查询语句
            //5.处理查询结果集（只有当第4步执行的是select语句时，才有这第5步）


            if(rs.next()){
                flag = true;
            }

        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            //6.释放资源（使用完资源后一定要关闭资源，java和数据库属于进程间通信，开启后一定要关闭）
            try{
                if(stmt != null)
                    stmt.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

            try{
                if(conn != null)
                    conn.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

            try{
                if(rs != null)
                    rs.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }
        }

        return flag;

    }

    /**
     * 初始化用户界面
     * @return 用户输入用户名、密码等信息
     */
    private static Map<String, String> inintUI () {
        Scanner s = new Scanner(System.in);

        System.out.print("用户名：");
        String loginName = s.nextLine();
        System.out.print("密码：");
        String loginPwd = s.nextLine();

        Map<String, String> userLoginInfo = new HashMap<>();

        userLoginInfo.put("loginName",loginName);
        userLoginInfo.put("loginPwd",loginPwd);

        return userLoginInfo;

    }

}

3.对比Statement 与 PreparedStatement

3.1.区别：

  • statement存在SQL注入问题，PreparedStatement解决了SQL注入问题

  • Statement是编译一次执行一次，PreparedStatement是编译一次，可执行N次，效率较高

  • PreparedStatement会在编译阶段做类型的安全检查

  • 综上：99%的情况使用PreparedStatement，1%的情况使用Statement

3.2.什么情况使用Statement？
  • 业务要求必须进行SQL注入时
  • Statement支持注入，凡是要求需要进行sql语句拼接的，必须使用Statement
3.2.1. 比如：：：：把emp表内的数据按工资
  • desc排列
  • asc 排列

Statement实现：
在这里插入图片描述
在这里插入图片描述

public class JDBCStatementOnly {
        public static void main(String[] args) {

            //JDBC代码
            Connection conn = null;
//改动1：
            Statement stmt = null;
//            PreparedStatement stmt = null;

            ResultSet rs = null;



            //排列方式：
            Scanner s = new Scanner(System.in);
            System.out.print("desc or asc ?：");
            String order = s.nextLine();

            try{

                //1.注册驱动（作用：告诉java程序，即将要连接哪个品牌的数据库）
                Class.forName("com.mysql.jdbc.Driver");
                //2.获取连接（表示JVM的进程和数据库进程之间的  通道 打开了，使用完之后  必须关闭）
                String url = "jdbc:mysql://localhost:3306/bjpowernode"; //自己的地址链接
                String user = "root";
                String password = "333";
                conn = DriverManager.getConnection(url,user,password);
                //3.获取数据库操作对象（专门执行sql语句的对象）
                stmt = conn.createStatement();

                //4.执行sql语句（主要执行DQL、DML……）
                String sql = " select * from emp order by sal "+order;


                //5.处理查询结果集（只有当第4步执行的是select语句时，才有这第5步）
                rs = stmt.executeQuery(sql); //专门执行DQL查询语句
                boolean flag = rs.next();

                while (flag){
                    //列表标签
                    String empno = rs.getString("empno");
                    String ename = rs.getString("ename");
                    String sal = rs.getString("sal");

                    System.out.println(empno+","+ename+","+sal);
                    flag = rs.next();
                }


            }catch (Exception e){
                e.printStackTrace();
            }finally { //为保证一定关闭，放在finally关闭
                //6.释放资源（使用完资源后一定要关闭资源，java和数据库属于进程间通信，开启后一定要关闭）
                //按照从小到大的顺序关闭
                try{
                    if(stmt != null)
                        stmt.close();
                } catch (SQLException throwables) {
                    throwables.printStackTrace();
                }

                try{
                    if(conn != null)
                        conn.close();
                } catch (SQLException throwables) {
                    throwables.printStackTrace();
                }

                try{
                    if(rs != null)
                        rs.close();
                } catch (SQLException throwables) {
                    throwables.printStackTrace();
                }


            }

        }

    }

preparedStatement 无法实现需求:
在这里插入图片描述

/***
 * 把emp表内的数据按工资
 *  *              desc排列
 *  *              asc 排列
 *      preparedStatement 无法实现需求
 */
class JDBCpreparedStatementOnly {
    public static void main(String[] args) {

        //JDBC代码
        Connection conn = null;
//改动1：

        PreparedStatement stmt = null;

        ResultSet rs = null;



        //排列方式：
        Scanner s = new Scanner(System.in);
        System.out.print("desc or asc ?：");
        String order = s.nextLine();

        try{

            //1.注册驱动（作用：告诉java程序，即将要连接哪个品牌的数据库）
            Class.forName("com.mysql.jdbc.Driver");
            //2.获取连接（表示JVM的进程和数据库进程之间的  通道 打开了，使用完之后  必须关闭）
            String url = "jdbc:mysql://localhost:3306/bjpowernode"; //自己的地址链接
            String user = "root";
            String password = "333";
            conn = DriverManager.getConnection(url,user,password);
            //3.获取数据库操作对象（专门执行sql语句的对象）
            String sql = " select * from emp order by sal  ? ";
            stmt = conn.prepareStatement(sql);
            //改动：4      给占位符传值
            stmt.setString(1,order);


            //4.执行sql语句（主要执行DQL、DML……）


            //5.处理查询结果集（只有当第4步执行的是select语句时，才有这第5步）
            rs = stmt.executeQuery();

            boolean flag = rs.next();

            while (flag){
                //列表标签
                String empno = rs.getString("empno");
                String ename = rs.getString("ename");
                String sal = rs.getString("sal");

                System.out.println(empno+","+ename+","+sal);
                flag = rs.next();
            }


        }catch (Exception e){
            e.printStackTrace();
        }finally { //为保证一定关闭，放在finally关闭
            //6.释放资源（使用完资源后一定要关闭资源，java和数据库属于进程间通信，开启后一定要关闭）
            //按照从小到大的顺序关闭
            try{
                if(stmt != null)
                    stmt.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

            try{
                if(conn != null)
                    conn.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

            try{
                if(rs != null)
                    rs.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }


        }

    }

}
3.3.为什么有些情况Statement可以，PreparedStatement不行？？？？
  • 以3.2为例：把emp表内的数据按工资升序、降序排列
  • 正常sql语句应该是：
  •    select empno ,ename,sal from emp order by sal desc;//降序

  •    select empno ,ename,sal from emp order by sal asc; //升序

在这里插入图片描述

  • Statement程序：
  •   //4.执行sql语句（主要执行DQL、DML……）
 String sql = " select * from emp order by sal "+order;
 System.out.println(sql);

在这里插入图片描述

  • PreparedStatement程序：
  •   //3.获取数据库操作对象（专门执行sql语句的对象）
      String sql = " select * from emp order by sal  ? ";
  //预编译
      stmt = conn.prepareStatement(sql);
  //给占位符传值
      stmt.setString(1,order);
      System.out.println(sql);

在这里插入图片描述

4.PreparedStatement的CRUD

4.1.增insert：向表中插入数据——(no=14,name=Bob,class_id=2020)
  •   	 //增  //insert into t_stu(no,name,class_id) values (14,'Bob',2020);
      String sql = "insert into t_stu(no,name, class_id ) values (?,?,?)";
      ps = conn.prepareStatement(sql);
      //      给占位符传值
      ps.setInt(1,14);
      ps.setString(2,"Bob");
      ps.setInt(3,2020);
      ps.executeUpdate();
4.2.删delete：删除no>20的全部数据
  •   		//删     delete from t_stu  where no>20;
      String sql3 = "delete from t_stu  where no>?";
      ps = conn.prepareStatement(sql3);
      //      给占位符传值
      ps.setInt(1,20);
      ps.executeUpdate();
4.3.改update：no=20的数据，name都改为Anna
  •   //      //改 update t_stu set name='Anna' where no = 20 ;
      String sql2 = "update t_stu set name= ? where no=?";
      ps = conn.prepareStatement(sql2);
     // 给占位符传值
      ps.setString(1,"Anna");
      ps.setInt(2,20);
      ps.executeUpdate();
4.4.查retrieve：查询no>10的所有数据
  •   //查	select * from t_stu where no>10;
      String sql4 = " select * from t_stu where no>?";
      ps = conn.prepareStatement(sql4);
  // 给占位符传值
      ps.setInt(1,10);
     
  //4.执行sql语句（主要执行DQL、DML……）
      rs = ps.executeQuery(); //专门执行DQL查询语句

/**
 * 演示preparedStatement 的 CRUD
 */


import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.*;

public class preparedStatement {
    public static void main(String[] args) {
        //JDBC代码
        Connection conn = null;
        PreparedStatement ps = null;
        ResultSet rs = null;

        try {
        //1.注册驱动（作用：告诉java程序，即将要连接哪个品牌的数据库）
            Class.forName("com.mysql.jdbc.Driver");
        //2.获取连接（表示JVM的进程和数据库进程之间的  通道 打开了，使用完之后  必须关闭）
            String url = "jdbc:mysql://localhost:3306/bjpowernode"; //自己的地址链接
            String user = "root";
            String password = "333";
            conn = DriverManager.getConnection(url,user,password);
        //3.获取数据库操作对象（专门执行sql语句的对象）
            //一个问号表示一个占位符


        //增     insert into t_stu(no,name, class_id ) values (?,?,?)
            String sql = "insert into t_stu(no,name, class_id ) values (?,?,?)";
            //insert into t_stu(no,name,class_id) values (20,'James',2020);
            ps = conn.prepareStatement(sql);
            //      给占位符传值
            ps.setInt(1,14);
            ps.setString(2,"Bob");
            ps.setInt(3,2020);
            ps.executeUpdate();



//        删     delete from t_stu  where no=30;
            String sql3 = "delete from t_stu  where no>?";
            ps = conn.prepareStatement(sql3);
            //      给占位符传值
            ps.setInt(1,20);
            ps.executeUpdate();


//      //改 update t_stu set name='dior' where no > ?;
            String sql2 = "update t_stu set name= ? where no=25?";
            ps = conn.prepareStatement(sql2);
//          给占位符传值
            ps.setString(1,"Anna");
            ps.setInt(2,20);
            ps.executeUpdate();



//查
            String sql4 = " select * from t_stu where no>?";
            ps = conn.prepareStatement(sql4);
//          给占位符传值
            ps.setInt(1,10);
            //程序执行到此，会发送sql语句”框子“给DBMS，然后它进行‘预编译


        //4.执行sql语句（主要执行DQL、DML……）
            rs = ps.executeQuery(); //专门执行DQL查询语句
        //5.处理查询结果集（只有当第4步执行的是select语句时，才有这第5步）
            boolean flag = false;
            flag = rs.next();
            while (flag){
                //列表标签
                String no = rs.getString("no");
                String name = rs.getString("name");
                String class_id = rs.getString("class_id");

                System.out.println(no+","+name+","+class_id);
                flag = rs.next();
            }

        }catch (Exception e){
            e.printStackTrace();
        }finally {
            //6.释放资源（使用完资源后一定要关闭资源，java和数据库属于进程间通信，开启后一定要关闭）

            try{
                if(ps != null)
                    ps.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

            try{
                if(conn != null)
                    conn.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }

            try{
                if(rs != null)
                    rs.close();
            } catch (SQLException throwables) {
                throwables.printStackTrace();
            }
        }
    }
}
丢丢diu丢
关注
专栏目录
Statement 和 PreparedStatement 的比较
flying_hengfei的博客
10-16 291
        在使用jdbc进行两节数据库时，会用到 Statement 和 PreparedStatement两个不同的对象进行执行sql语句的步骤,不过两个对象之间有着相同和不同点，一起来看看吧 相同点         1、首先要说的...
JDBC——使用PreparedStatement实现CRUD操作
weixin_54226473的博客
12-21 672
目录 为什么选择使用PrepareStatement而不选择Stament？ 使用PreparedStatement实现增、删、改操作 使用PreparedStatement实现查询操作 为什么选择使用PrepareStatement而不选择Stament？ Statement也可以用来进行操作数据，但是我们更推荐使用PreParedStatement主要从两个方面来讲： 一：使用Statement操作数据表存在弊端： 问题1：存在拼串操作，繁琐 问题2：存...
JDBC:使用jdbc实现用户登入以及Statement与PreparedStatement的区别
weixin_45986454的博客
05-26 182
标题：使用jdbc实现用户登入以及Statement与PreparedStatement的区别 一、先导入mysql-connector-java-5.0.25-bin.jar 二、编程PreparedStatement的编程步骤 1）加载厂商的驱动 2）用Java中的类获取连接【传入数据库的信息】 3）用连接的对象【connection】获取执行sql的命令对象【preStatement】 4）执行sql语句，【sql语句不要写上;】 5）关闭 三、建议使用PreparedStatement而不使用Sta
statement和preparedstatement的区别以及sql注入的预防
编程，是个体力活
07-14 1698
Statement 和 PreparedStatement之间的关系和区别. 关系：PreparedStatement继承自Statement,都是接口 区别：PreparedStatement可以使用占位符，是预编译的，批处理比Statement效率高 恶义 SQL 语法 String sql = “select * from tb_name where name= ‘”...
JDBC - PreparedStatement和Statement的区别
asfcyg的博客
08-18 141
使用PreparedStatement的好处： 不再使用 + 拼接sql语句，减少语法错误，语义性强 将模板sql（固定的部分）和参数部分进行了分离，提高维护性 有效的解决了sql注入问题 注入问题：比如下面的例子，使用Statement，用户输入username时，可能会输入一些特殊符号，尤其是双引号、单引号，系统将这些符号拼接到sql语句中，可能会导致sql语句出错，进而导致程序报错。 大大减少了编译次数，效率高 比如下面例子中的登录验证。 使用Statement，如果有10个人进行登录验证，程序就需
PreparedStatement与Statement对比、 SQL 注入漏洞原理及实例分析
bzqgo的博客
03-14 329
测试代码import java.sql.*; import org.junit.Test; /** * PreparedStatement与Statement对比、 PreparedStatement防止sql语句的注入原理与分析 * * @author baozq * * 2018年3月14日 */ public class SelectInject { //模拟用...
JDBC从入门到熟练使用——功能类详解、增删改查(CRUD)、sql注入、事务、连接池
最新发布
subsistent的博客
02-04 192
代表一个数据库连接（当connection不是null时，表示已连接数据库）二、JDBC（Java Database Connectivity）十一、 DAO 数据访问对象（Data Access Object）管理多个数据库驱动类，提供了获取数据库连接的方法。10.1 实体类(entity)：零散数据的载体。13.2.1 编写 service 实现转账功能。保存SQL查询语句的结果数据（结果集）
JDBC(一)——statement对象、PreparedStatement对象
吃饭了吗
01-29 759
1. 数据库驱动 2. JDBC 3. 第一个JDBC程序 4. statement对象 5. PreparedStatement对象 6. 使用IDEA连接数据库 7. 事务 8. 数据库连接池
MySQL学习记录11JDBCstatement对象、SQL注入问题与PreparedStatement对象
asdfghjkl_zth的博客
02-13 582
文章目录MySQL学习记录11JDBCstatement对象、SQL注入问题与PreparedStatement对象11.1statement对象11.1.1代码实现（增删改查）11.1.2SQL注入问题11.1.2.1SQL注入攻击的总体思路11.2PreparedStatement对象 MySQL学习记录11JDBCstatement对象、SQL注入问题与PreparedStatement对象 11.1statement对象 Jdbc中的statement对象用于向数据库发送SQL语句，想完成对数据库的
idea操作jdbc（CRUD、SQL注入、预编译）
qq_61727355的博客
08-14 882
2）在idea中新建lib目录存放jar包（需右击add as library）3）编码测试，测试插入一条数据。CRUD操作-create。CRUD操作-update。CRUD操作-delete。1）提取配置信息（解耦合）CRUD操作-read。
sqlserver2000 jdbc（3jar包）
10-21
sqlserver2000jdbc的3个jar包
sqljdbc4-3.0.zip
04-03
sqljdbc4-3.0.jar是使用Java JSP框架连接SQLService的一个驱动。具体用法网上很多。
Statement和PreparedStatement的区别; 什么是SQL注入，怎么防止SQL注入？
weixin_34268310的博客
04-04 218
http://www.cnblogs.com/RunForLove/p/4564224.html SQL注入攻防入门详解 转载于:https://www.cnblogs.com/xtdxs/p/6666010.html
Statement和PreparedStatement的区别，SQL注入
在途中
07-01 1489
问题一：Statement和PreparedStatement的区别　　先来说说，什么是java中的Statement：Statement是java执行数据库操作的一个重要方法，用于在已经建立数据库连接的基础上，向数据库发送要执行的SQL语句。具体步骤：　　1.首先导入java.sql.*；这个包。　　2.然后加载驱动，创建连接，得到Connection接口的的实现对象，比如对象名叫做conn。　...
导致sql注入的根本原因以及Statement与PreparedStatement的区别
weixin_43570233的博客
04-15 287
何为sql注入？ SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息 使用JDBC过程中出现SQL注入的问题 输入正确的账号和密码登陆成功 当使用sql注入时,错误的密码也能登陆成功，这就是sql注入 导致sql注入的根本原因 用户输入的信息中含有sql语句的关键字，并且这些关键字参与sq
什么是SQL注入？如何解决SQL注入？Statement和PreparedStatement的比较
悬悬小的博客
04-15 247
文章目录前言一、模拟用户登录功能的实现代码1.代码实现2.什么是SQL注入二、解决sql注入1.代码实现2.PreparedStatement3.Statement 和PreparedStatement的比较总结 前言 首先我们通过一个模拟用户登录功能的demo，复习JDBC编程的6个步骤，然后分析当前程序存在的问题，引出SQL注入，并提出解决的办法。 一、模拟用户登录功能的实现代码 1.代码实现 package org.xx.JDBC02; import java.sql.*; import java
浅谈操作系统的进程通信对于数据库的影响
adson1987的博客
05-28 4698
浅谈操作系统的进程通信部分对于数据库的影响进程间的通信共享内存的实现共享内存与Oracle SGA 最近在温习操作系统相关的基本原理，结合以前的数据库实践，就简单说一说最基础的操作系统进程通信部分对数据库的一些影响。 进程间的通信 操作系统内的进程在执行时可以分为独立的或者是协作的。 独立进程的含义是该进程不能影响其他进程或受其他进程影响，反之，则是协作的进程。 协作进程的意义通常在于以下理由： 1、加速计算：这也是计算机发展到多个处理内核和进行进程间调度的原因，充分利用cpu资源以达到加快程序处理的作用。
PreparedStatement 和Statement 的区别，注入风险的解析
weixin_44477677的博客
06-06 300
该 PreparedStatement接口继承Statement 主要区别： 1. PreparedStatement 实例包含已编译的 SQL 语句，是预编译语言。这就是使语句“准备好”。包含于 PreparedStatement 对象中的 SQL 语句可具有一个或多个 IN 参数。IN参数的值在 SQL 语句创建时未被指定。相反的，该语句为每个 IN 参数保留一个问号（“？”）作为占位符。每个...
JDBC实例 Statement,Prepared…
10-21 188
public void ListStudents() throws SQLException{   int i, NoofColumns;   String StNo, StFName, StLName;   //初始化并加载JDBC-ODBC驱动程序   Class.forName("jdbc.odbc.JdbcOdbcDriver");   //创建连接对象   Connection Ex1
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值