PreparedStatement是如何防止SQL注入的?
1 什么是SQL注入?
Statement statement = connection.createStatement();
String user = "1' OR ";
String password = "='1' OR '1' = '1";
//使用Statement,SQL语句使用字符串拼接
String sql = "SELECT user,password FROM user_table WHERE USER = '" + userName + "' AND PASSWORD = '" + password+ "'";
statement.execute(sql);
在MySQL的日志文件中
#条件出现 '1'='1' 恒成立,出现bug
SELECT USER,PASSWORD FROM user_table WHERE USER = '1' OR ' AND PASSWORD = '='1' OR '1' = '1';
以上出现的情况被认为是SQL注入
2 PreparedStatement可以解决SQL注入问题
2.1 PreparedStatement的使用
- 举例如下:
// '?'为通配符,需要填充
String sql = "SELECT user,password FROM user_table WHERE USER = ? AND PASSWORD = ?"
PreparedStatement ps = connection.prepareStatement(sql);
//填充占位符,其中args为占位符('?')的填充内容,填充从1开始
for(int i = 0;i < args.length;i++){
ps.setObject(i + 1, args[i]);
}
ps.excute();
2.2 PreparedStatement是如何解决SQL注入问题的?
- 我们在使用Connection获取PreparedStatement对象时,会把SQL语句作为参数传入,此时,SQL语句会在PreparedStatement对象初始化的时候进行一次预编译。在内存中执行如下:
com.mysql.jdbc.JDBC42PreparedStatement@b1a58a3: SELECT user,password FROM user_table WHERE USER = ** AND PASSWORD = **
- 当我们对占位符进行填充的时候就是替换上面的’**’,而当出现字符时系统会在内存中自动进行转译,结果如下:
com.mysql.jdbc.JDBC42PreparedStatement@b1a58a3: SELECT USER,PASSWORD FROM user_table WHERE USER = ‘1\’ OR ’ AND PASSWORD = '=\‘1\’ OR \‘1\’ = \‘1’;
实际在MySQL中执行的是
SELECT USER,PASSWORD FROM user_table WHERE USER = "1' OR " AND PASSWORD = "='1' OR '1' = '1";
不会对SQL语句修改。
3 总结
PreparedStatement能够防止SQL注入的主要原因是能够实现预编译,在对占位符进行填充的时候会对符号进行转译处理。所以,平常我们最好是别使用Statement,使用PreparedStatement进行替换。
以上内容纯手打,码字不易,如需转载请声明出处,谢谢!
作者:LouisHaoL