JDBC SQL注入漏洞

最新推荐文章于 2024-05-04 16:43:09 发布

shs520

最新推荐文章于 2024-05-04 16:43:09 发布

阅读量154

点赞数

文章标签： sql

本文链接：https://blog.csdn.net/weixin_41796772/article/details/129668398

版权

文章讨论了SQL注入攻击的一种示例，其中黑客通过拼接SQL参数来绕过验证。解决方案是采用PreparedStatement进行预编译，确保参数不会影响SQL结构，提高代码安全性。示例展示了如何使用PreparedStatement设置参数，避免直接字符串拼接。

摘要由CSDN通过智能技术生成

底层原理通过传递参数(or 1=1 )拼接的SQL语句导致其成立可以查询到数据。
登录SQL语句：
select * from shs_users where name=‘1’ and pwd=‘12’;
但黑客传递的参数 ’ or 1=‘1
select * from shs_users where name=’’ and pwd=‘’ or 1=‘1’;

解决办法：
使用PreparedStatemnet（预编译执行者对象)，将sql语句进行提前编译，明确SQL语句的格式后，传递的参数就是参数，不会拼接sql语句。
用？占位符赋值的方式 setxxx(参数1，参数2)
xxx: 数据类型
参数1：？的位置从编号1开始
参数2：？的实际参数

String loginSql = "select * from shs_users where name=? and pwd=?;";
statement = connection.prepareStatement(loginSql);
statement.setString(1, userEntity.getPhone());
statement.setString(2, userEntity.getPwd());