SQL注入现象及其解决方案

最新推荐文章于 2024-09-26 15:01:53 发布

Stars-Nine

最新推荐文章于 2024-09-26 15:01:53 发布

阅读量926

点赞数

分类专栏： MYSQL 文章标签： mysql

本文链接：https://blog.csdn.net/weixin_55782195/article/details/117949086

版权

本文探讨了SQL注入产生的原因，即用户输入的SQL关键字与底层SQL语句拼接导致语句含义扭曲。主要解决方案是使用`java.sql.PreparedStatement`接口，通过预编译SQL语句来防止用户信息直接参与编译，从而避免SQL注入风险。示例中展示了如何通过PreparedStatement改进程序，确保安全登录。

摘要由CSDN通过智能技术生成

一、SQL注入

1.1、SQL注入产生的原因

导致SQL注入的根本原团是:用户不是一般的用户, 用户是懂得程序的，输入的用户名信息以及密码信息中含有SQL语句的关键字,这个SQL语句的关键字和底层的SQL语句进行“字符串拼接”，导致原SQL语旬的含义被扭曲了。最最最主要的原因是:用户提供的信息参与了SQL语句的编译。
根本原因:先进行了字符串拼接，然后再进行编译

举个例子！

数据库信息表t_user为：
在这里插入图片描述

连接数据库模拟用户登录

package resource;

import java.sql.*;
import java.util.HashMap;
import java.util.Map;
import java.util.Scanner;

/**
 * 模拟用户登录
 */
public class jdbcTest03 {
   
    public static void main(String[] args) {
   
        //初始化一个界面，可以让用户输入用户名和密码
        Map<String,String> userloginInfo=initUI();
        //连接数据库，验证用户名和密码是否正确
     boolean ok=checkNameAndpwd(userloginInfo.get("loginname"),userloginInfo.get("loginpwd"));
        System.out.println(ok?"登陆成功":"登陆失败");
    }

    /**
     *
     * @param loginname 登录名
     * @param loginpwd  登陆密码
     * @return  true表示登陆成功，false 表示登陆失败
     */
    private static boolean checkNameAndpwd(String loginname, String loginpwd) {
   
         //默认登陆失败
        boolean ok=false;
        Connection conn=null;
        Statement stmt=null;
        ResultSet rs=null;
        try{
   
            //1、注册驱动
            Class.forName("com.mysql.cj.jdbc.Driver");
            //2、获取连接
            conn= DriverManager.getConnection("jdbc:mysql://localhost:3306/students","root","root");
            //获取数据库操作对象
            stmt=conn.createStatement();
            //执行SQL语句(字符串拼接获取登录用户和密码)
            String sql="select * from t_user where login_name='"+loginname+"' and login_pwd='"+loginpwd+"'";
            rs=stmt.executeQuery(sql);//此时会发送sql给DBMS,进行sql语句的编译
            //处理查询结果集
            if(rs.next()){
   
                ok=true;//如果结果集有数据
                String sname=rs.getStri