JDBC--解决sql注入

sql注入

由于没有对用户输入进行充分检查，而SQL又是拼接而成，在用户输入参数时，在参数中添加一些SQL 关键字，

达到改变SQL运行结果的目的，也可以完成恶意攻击。

 

示例:

在输入用户名时  tom' or '1'='1

这时就不会验证密码了。

解决方案:

PreparedStatement(重点)

它是一个预处理的Statement，它是java.sql.Statement接口的一个子接口。

总结PreparedStatement使用:

1.在sql语句中，使用"?"占位

String sql="select * from user where username=? and password=?";

2.得到PreparedStatement对象

PreparedStatement pst=con.prepareStatement(String sql);

3.对占位符赋值

pst.setXxx(int index,Xxx obj);

例如:

setInt()

setString();

参数index,代表的是"?"的序号.注意：从1开始。

 

4.执行sql

DML：pst.executeUpdate();

DQL:   pst.executeQuery();

注意：这两方法无参数

关于PreparedStatement优点:

1.解决sql注入(具有预处理功能)

2.不需要在拼sql语句。