Servlet&Filter&Listener&Mybatis&预编译&生命周期

Ch4ser

已于 2023-12-20 15:14:02 修改

阅读量859

点赞数 27

分类专栏： Java安全文章标签： servlet filter listener mybatis java安全

于 2023-12-19 13:30:55 首次发布

本文链接：https://blog.csdn.net/qq_46081990/article/details/135082289

版权

Java安全专栏收录该内容

6 篇文章 1 订阅

订阅专栏

0x00 前言

很久没有更新 CSDN 博客了，原因是搭建了个人博客网站，但现在决定还是同步到 CSDN

希望和各位大佬一起学习，如果文章内容有错请多多指正，谢谢！

个人博客链接：CH4SER的个人BLOG – Welcome To Ch4ser's Blog

0x01 Servlet&路由&生命周期

参考：JAVAEE的核心-Servlet_javaee servlet-CSDN博客
1、解释

Servlet 是运行在 Web 服务器或应用服务器上的程序，它是作为来自 Web 浏览器或其他 HTTP 客户端的请求和 HTTP 服务器上的数据库或应用程序之间的中间层。

使用 Servlet 可以收集来自网页表单的用户输入，呈现来自数据库或者其他源的记录，还可以动态创建网页。

2、创建和使用 Servlet

第一步，创建一个类继承 HttpServlet
第二步，在 web.xml 配置 Servlet 路由，或者使用 @WebServlet 配置（后面的 Filter、Listener 对应 @WebFilter、@WebListener）
第三步，写入内置方法（init、service、destroy、doGet、doPost ......）

关于 web.xml：

web.xml 是 web 应用的配置文件，它必须存放在 webapp/WEB-INF/ 目录下面
用于对 web 应用下的web资源进行配置，服务器在启动时会读取 web.xml 文件中的内容

关于 url-pattern 匹配模式：

/ 代表当前web应用的根目录
精确匹配，例如：/test
匹配任意的url，例如：/*

以下是使用 @WebServlet 配置 Servlet 路由的示例：

以下是在 web.xml 中配置 Servlet 路由的示例：

以下是测试 doGet 方法，浏览器 GET 方式请求 http://localhost:8080/demo1/index?name=ch4ser，页面和控制台都会有打印输出。

同理，可以测试 doPut、doDelete 等方法。
3、Servlet 的生命周期

以下是测试 init、service、destroy 方法：

当浏览器 GET 方式请求 http://localhost:8080/demo1/index?name=ch4ser，IDEA 控制台输出：

---------Init---------
---------Servlet Service---------
---------Http Service---------
--------doGET---------

当 Tomcat 服务器关闭时，IDEA 控制台输出：---------Destroy---------

注意上面两个不同的 service 方法：

service(ServletRequest req, ServletResponse res)：这个方法是 Servlet 的父类 GenericServlet 中定义的方法。用于处理通用的请求和响应
service(HttpServletRequest req, HttpServletResponse resp)：这个方法是 Servlet 的子类 HttpServlet 中定义的方法。用于处理 HTTP 请求和响应

所以，如果只需要处理通用的请求和响应，可以使用service(ServletRequest req, ServletResponse res)方法。

而如果需要处理HTTP请求和响应，可以使用service(HttpServletRequest req, HttpServletResponse resp)方法，它提供了更多的HTTP相关的功能和信息。

0x02 JDBC&Mybatis

1、原生态数据库开发：JDBC

参考：JavaEE-JDBC基础 - 简书 (jianshu.com)

JDBC：由 Java 提供，用于访问数据库的统一 API 接口规范。
数据库驱动：由各个数据库厂商提供，用于访问数据库的 jar 包（JDBC的具体实现），遵循 JDBC 接口，以便 Java 程序员使用。

下载数据库驱动 jar 包：Maven Repository: Search/Browse/Explore (mvnrepository.com)
引用封装 jar包：项目根目录下创建一个 lib 目录，复制导入 lib 后，右键选择添加为库

使用 JDBC 操作数据库：

注册数据库驱动
建立数据库连接
创建 Statement 执行SQL语句
输出查询 ResultSet
关闭连接，释放资源

以下是一段使用 JDBC 操作数据库的简单代码：

2、持久层框架 Mybatis

MyBatis是一种持久层框架，用于将Java对象映射到关系数据库中的数据。它提供了一种将SQL语句与Java对象进行映射的简单方法，从而减少了开发人员编写和维护传统JDBC代码的工作量。

MyBatis的核心是一个基于XML的配置文件，其中定义了数据库连接信息、SQL语句和结果映射规则。开发人员可以通过编写简单的XML文件来定义SQL语句，并在Java代码中使用MyBatis的API来执行这些SQL语句。

MyBatis提供了丰富的功能，包括动态SQL、批处理、缓存、插件扩展等。它支持多种数据库，包括MySQL、Oracle、SQL Server等。同时，MyBatis还提供了与Spring等常用框架的集成支持，使得在企业应用中使用MyBatis变得更加方便。

总的来说，MyBatis是一种简单易用、功能丰富的Java持久层框架，可以帮助开发人员更轻松地进行数据库访问操作。

0x03 预编译 SQL

1、预编译原理

提前编译好执行逻辑或语义，攻击者所注入的语句并不会改变原有的逻辑或语义，从而预防 SQL 注入。

2、写法示例

3、不安全的写法和预编译写法的对比

        //不安全写法
        String unsafe_sql = "select * from stu where id="+s;
        Statement statement = connection.createStatement();
        ResultSet rs = statement.executeQuery(unsafe_sql);
        //预编译写法
        String safe_sql = "select * from stu where id=?";
        PreparedStatement preparedStatement = connection.prepareStatement(safe_sql);
        preparedStatement.setString(1,s);
        ResultSet rs = preparedStatement.executeQuery();