JDBC-02-sql注入问题、Statement 和 ComparedStatement

SQL注入问题：

SQL注入是一种安全漏洞，攻击者向Web应用程序或其他软件中的SQL语句注入恶意代码，从而可以访问或操作该应用程序的数据库，获取敏感信息或者对数据进行破坏。

SQL注入攻击主要是利用未经过滤或校验的用户输入信息，将恶意代码作为SQL参数传入对数据库进行非法访问或修改，从而导致严重的安全问题。攻击者可以通过各种方式获取网站上用户提交的表单数据、URL参数等信息，然后把这些信息注入到一个拼接的SQL语句中。

假设有一个登录页面，用户名和密码是作为参数传入查询语句中：

String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

如果攻击者在用户名或密码中输入一些恶意代码，就有可能造成SQL注入攻击。例如：在用户名中输入 ' OR 1=1 --，这会导致查询语句变成：

SELECT * FROM users WHERE username = '' OR 1=1 --' AND password = 'xxx';

-- 是注释符号，在这里表示后面的内容都是注释掉的，因此原来的查询条件被覆盖了，整个用户表中的记录都会被返回。 

为了防止SQL注入攻击，应该做到以下几点：

• 对用户输入进行过滤和校验，去除或转义恶意字符࿱