Statement操作sql语句的弊端

Statement操作SQL语句的弊端

在学习JDBC的时候，提到了用Statement进行数据库的增删改查的弊端，主要有两点。

1. 拼写sql语句涉及字符串的拼接，太痛苦
2. sql注入

. 下面通过一个登录情景说明这两个弊端

登录的过程：
简单的登录实现，用户输入用户名和密码。获取用户名和密码的信息后去数据库的表中对比，如果发现有匹配的用户名和密码，就表明登录成功，没有匹配的用户信息说明匹配失败。

我写了一个get方法，该方法可以去数据表中查看是否有对应的用户信息，如果有就返回相应的User对象，没有则返回null
get方法代码：

public static User get(String sql) throws Exception{
		//获取基本的配置信息
		InputStream input=StatementCase.class.getClassLoader().getResourceAsStream("jdbc.properties");
		Properties pro=new Properties();
		pro.load(input);
		String url=pro.getProperty("url");
		String user=pro.getProperty("user");
		String password=pro.getProperty("password");
		String driverClass=pro.getProperty("driverClass");
		
		//加载驱动类
		Class.forName(driverClass);
		
		//获取连接
		Connection con=DriverManager.getConnection(url,user,password);
		
		Statement statement=con.createStatement();
		ResultSet rs=statement.executeQuery(sql);
		User login_user=null;
		if(rs.next()){
		String username=rs.getString("username");
		String password1=rs.getString("password");
		login_user=new User();
		login_user.setUsername(username);
		login_user.setPassword(password1); 
		
				}
		
		return login_user;
		
	}

用户输入用户名，密码

public static void main(String[] args) throws Exception {
		Scanner scanner=new Scanner(System.in);
		System.out.print("用户名:");
		String user=scanner.next();
		System.out.print("密码:");
		String password=scanner.next();
		
		String sql="select username,password from userinfo where  username='"+user+"' and password= '"+password+"'";
		User result=get(sql);
		if(result!=null){
			System.out.println("登录成功");
		}
		else{
			System.out.println("登录失败");
		}

	}
		

目前为止看起来都一切良好，这个时候问题来了，我必须把变量名user,password放进我的sql语句中去。也就是这个样子:

select username,password from userinfo where  username='变量user'  and  password= '变量password'

由于在java中执行的SQL语句必须以字符串的形式书写，那么就涉及到字符串的拼接,就会变成这个样子

String sql="select username,password from userinfo where  username='"+user+"' and password= '"+password+"'";

此时此刻是不是感觉可读性很差而且写起来很麻烦，不过都还好，毕竟我们不怕麻烦 （逃

另一个问题却是我们不能接受的，也就是这篇的重点SQL注入

SQL注入是什么？

用一个很简单的例子在理解，我们来看这样一条SQL语句

SELECT username, 
password FROM userinfo WHERE username='a' OR 1 = ' AND password = 
' OR '1' = '1'

解析起来就是，筛选username,password字段，从userinfo这个表中，筛选条件是 XXX or XXX or XXX,这三个XXX只要有一个成立，就表明符合筛选要求。又因为1=1这个条件是恒成立的，所以每一行数据都符合要求，必然可以筛选出结果。
执行结果如下：
于是神奇的地方来了，我可以想办法在输入用户名和密码的时候，输入一些SQL语句。

然后 , user变量的值就是：a’ OR 1 =
password变量的值就是:OR ‘1’ = '1
导致的结果就是SQL语句会变成我刚刚写的那个样子，然后该用户就登录成功了，这就是SQL注入了。

总结起来SQL注入就是指：由于用户的恶意输入，导致系统执行了恶意SQL语句，做一些坏的事情。

小结：

1. Statement对象进行增删改查的时候，需要用字符串的拼接写sql语句，非常麻烦可读性差
2. 由于需要用字符串拼接的方式写sql，所以才给 SQL注入 提供了可乘之机。