SQL注入攻击

SQL注入攻击:

           由于dao中执行的SQL语句是拼接出来的,其中有一部分内容是由用户从客户端传入,所以当用户传入的数据中包含sql关键字时,就有可能通过这些关键字（‘#，‘or‘1）改变sql语句的语义,从而执行一些特殊的操作,这样的攻击方式就叫做sql注入攻击

      

       PreparedStatement利用预编译（先传递SQL语句的主干）的机制将sql语句的主干和参数分别传输给数据库服务器,从而使数据库分辨的出哪些是sql语句的主干哪些是参数,这样一来即使参数中带了sql的关键字,数据库服务器也仅仅将他当作参数值使用,关键字不会起作用,从而从原理上防止了sql注入的问题

 

       PreparedStatement主要有如下的三个优点:

           ~1.可以防止sql注入

           ~2.由于使用了预编译机制,执行的效率要高于Statement

           ~3.sql语句使用?形式替代参数,然后再用方法设置?的值,比起拼接字符串,代码更加优雅.