【代码审计】SQL 注入

最新推荐文章于 2024-06-12 16:52:14 发布

TeamsSix

最新推荐文章于 2024-06-12 16:52:14 发布

阅读量662

点赞数

分类专栏：代码审计文章标签： docker 容器运维

本文链接：https://blog.csdn.net/qq_37683287/article/details/121387433

版权

本文探讨了由于JDBC拼接不当和框架使用不当导致的SQL注入问题。在JDBC中，PrepareStatement相较于Statement能更好地防止SQL注入，但开发者直接拼接SQL仍存在风险。在MyBatis中，使用#{}而非${}可以避免注入，而在Hibernate中，尽管HQL注入受限，仍需警惕不当使用造成的安全隐患。

摘要由CSDN通过智能技术生成

0x01 JDBC 拼接不当造成 SQL 注入

JDBC 有两种方法执行 SQL 语句，分别为 PrepareStatement 和 Statement，两个方法的区别在于 PrepareStatement 会对 SQL 语句进行预编译，而 Statement 在每次执行时都需要编译，会增大系统开销。

理论上 PrepareStatement 的效率和安全性会比 Statement 好，但不意味着就不会存在问题。

以下是一个使用 Statement 执行 SQL 语句的示例

String sql = "select * from user where id ="+req.getParameter("id");
PrintWriter out = resp.getWriter();
out.println("Statement Demo");
out.println("SQL: "+sql);
try {
   
    Statement st = conn.createStatement(

最低0.47元/天解锁文章

TeamsSix

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
【代码审计】SQL 注入

0x01 JDBC 拼接不当造成 SQL 注入JDBC 有两种方法执行 SQL 语句，分别为 PrepareStatement 和 Statement，两个方法的区别在于 PrepareStatement 会对 SQL 语句进行预编译，而 Statement 在每次执行时都需要编译，会增大系统开销。理论上 PrepareStatement 的效率和安全性会比 Statement 好，但不意味着就不会存在问题。以下是一个使用 Statement 执行 SQL 语句的示例String sql = "se
复制链接

扫一扫

专栏目录