mysql 解决sql注入

sql注入：

web应用程序对用户输入数据的合法性没有判断或者过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾添加额外的sql语句，在管理员不知情的情况下进行非法操作，以此实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

java解决的方法：

• 使用prepareStatement

package com.sql;

import java.sql.*;

/**
 * @author panglili
 * @create 2022-07-18-9:57
 */
public class demo2 {
    public static void main(String[] args) throws Exception {
        //1.加载驱动
        Class.forName("com.mysql.cj.jdbc.Driver");
        //2.用户信息和url
        String url="jdbc:mysql://localhost:3306/shop?useUnicode=true&characterEncoding=utf-8&userSSL=false";
        String name="root";
        String pwd="123123";
        //3.连接成功
        Connection connection = DriverManager.getConnection(url, name, pwd);
        //4.预编译sql先不赋值
        String sql="delete  from account where id=?";
        PreparedStatement st = connection.prepareStatement(sql);

        //5.手动给参数赋值
        st.setInt(1,2);
        //6.执行 删除语句会返回受影响的行数
        int i = st.executeUpdate();

        if(i>0){
            System.out.println(i+"行删除成功");
        }
        //7.释放连接
        st.close();
        connection.close();
    }
}

prepareStatement防止sql注入的本质就是，把传递进来的参数当做字符，如果存在转义字符会被直接转义！