statement和preparestatement 小问题

最新推荐文章于 2021-02-09 01:55:57 发布

021117

最新推荐文章于 2021-02-09 01:55:57 发布

阅读量804

点赞数

分类专栏： java 文章标签： sql注入 sqlite java

本文链接：https://blog.csdn.net/u011700281/article/details/23679567

版权

java 专栏收录该内容

33 篇文章 0 订阅

订阅专栏

statement比较容易被sql注入，因为他是直接把用户传进来的数据加入数据库

preparestatement 由于只是预留了空位，提高了防范注入的可能性。

不安全版

Statement s = connection.createStatement();
ResultSet rs = s.executeQuery("SELECT email FROM member WHERE name = "
                             + formField); // *boom*

安全版

PreparedStatement ps = connection.prepareStatement(
    "SELECT email FROM member WHERE name = ?");
ps.setString(1, formField);
ResultSet rs = ps.executeQuery();

statement的用户数据作为数据库语句的一部分传递进来的，因此在任何情况下，这个变量的内容都可以解析为SQL语句。而引号、分号、反斜杠、SQL注释表示法-其中的任何一个都不会产生任何特殊的效果，这个因为它们“只是数据”。这不会对其他东西造成破坏，因此这个应用很大程度上防止了SQL注入攻击。