07_传智播客JDBC_Statement的sql注入问题

最新推荐文章于 2020-07-27 10:02:15 发布

nttwbd

最新推荐文章于 2020-07-27 10:02:15 发布

阅读量383

点赞数

分类专栏： jdbc 文章标签： sql jdbc 数据库 string null class

本文链接：https://blog.csdn.net/nttwbd/article/details/4092642

版权

jdbc 专栏收录该内容

12 篇文章 0 订阅

订阅专栏

通过PreperedStatement预防主注入

PreperedStatement的优点

1 预防sql注入占位符作为实参来定义sql语句，从而避免sql注入的攻击。

2 Statement 频繁使数据库编译SQL ，造成数据库缓存区溢出

3 在相关数据库连接没有关闭的情况下，数据库和驱动可以优化PreperedStatement

package five.base;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import four.utils.utilsSingle;

public class Base {

public static void main(String[] args) throws SQLException {

// 注入
read("'or 1 or '");
}

    static void read(String name) throws SQLException{

    Statement statement = null;
    ResultSet rs = null;
    utilsSingle instance = utilsSingle.getUtilsSingleInstance();

    // 1 创建连接
        Connection connection = instance.getConnection();
        try {

            // 2 创建语句
            statement = connection.createStatement();
            // 4 执行语句
            String sql = "select *from user where name = '" + name + "'";
            System.out.println(sql);
            rs = statement.executeQuery(sql);
            // 5 处理结果
            while (rs.next()) {
                System.out.println(rs.getObject(1)
                        + "/t" + rs.getObject(2)
                        + "/t" + rs.getObject(3)
                        + "/t" + rs.getObject(4)
                        + "/t");
            }
        } finally {
        // 释放资源 finally
        instance.free(connection, statement, rs);
        }
    }
}