JDBC如何防止SQL注入_jdbc sql参数替换-CSDN博客

本文链接：https://blog.csdn.net/qf2019/article/details/119910803

本文介绍了SQL注入的概念，展示了不安全的JDBC查询可能导致的安全风险，并提供了通过参数绑定预编译来防止SQL注入的解决方案。

摘要由CSDN通过智能技术生成

JDBC如何有效防止SQL注入
在我们平时的开发中，作为新手写JDBC很有可能忽略了一点，那就是根本没有考虑SQL注入的问题，

那么，什么是SQL注入，以及如何防止SQL注入的问题。

1.什么是SQL注入
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。[1]比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．

2.先看一下数据表中的数据
(1)查询代码：

     /**数据库表名**/
    String tableName = "emp_test";
 
   /**先查看一下数据库当中的表数据**/
     DBUtil.query(tableName, null);

(2)查询结果：

SELECT  * FROM emp_test
 成功查询到了14行数据
 第1行：{
   DEPT_TEST_ID=10, EMP_ID=1001, SALARY=10000, HIRE_DATE=2010-01-12, PASSWORD=123456, BONUS=2000, MANAGER=1005, JOB=Manager, NAME=张无忌}
 第2行：{
   DEPT_TEST_ID=10, EMP_ID=1002, SALARY=8000, HIRE_DATE=2011-01-12, PASSWORD=123456, BONUS=1000, MANAGER=1001, JOB=Analyst, NAME=刘苍松}
 第3行：{
   DEPT_TEST_ID=10, EMP_ID=1003, SALARY=9000, HIRE_DATE=2010-02-11, PASSWORD=123456, BONUS=1000, MANAGER=1001, JOB=Analyst, NAME=李翊}
 第4行：{
   DEPT_TEST_ID=10, EMP_ID=1004, SALARY=5000, HIRE_DATE=2010-02-11, PASSWORD=123456, BONUS=null, MANAGER=1001, JOB=Programmer, NAME=郭芙蓉}
 第5行：{
   DEPT_TEST_ID=20, EMP_ID=1005, SALARY=15000, HIRE_DATE=2008-02-15, PASSWORD=123456, BONUS=null, MANAGER=null, JOB=President, NAME=张三丰}
 第6行：{
   DEPT_TEST_ID=20, EMP_ID=1006, SALARY=5000, HIRE_DATE=2009-02