SQL注入现象及其解决方案

一、SQL注入

1.1、SQL注入产生的原因

导致SQL注入的根本原团是:用户不是一般的用户, 用户是懂得程序的，输入的用户名信息以及密码信息中含有SQL语句的关键字,这个SQL语句的关键字和底层的SQL语句进行“字符串拼接”，导致原SQL语旬的含义被扭曲了。最最最主要的原因是:用户提供的信息参与了SQL语句的编译。
根本原因:先进行了字符串拼接，然后再进行编译

• 举个例子！

数据库信息表t_user为：

连接数据库模拟用户登录

package resource;

import java.sql.*;
import java.util.HashMap;
import java.util.Map;
import java.util.Scanner;

/**
 * 模拟用户登录
 */
public class jdbcTest03 {
   
    public static void main(String[] args) {
   
        //初始化一个界面，可以让用户输入用户名和密码
        Map<String,String> userloginInfo=initUI();
        //连接数据库，验证用户名和密码是否正确
     boolean ok=checkNameAndpwd(userloginInfo.get("loginname"),userloginInfo.get("loginpwd"));
        System.out.println(ok?"登陆成功":"登陆失败");
    }

    /**
     *
     * @param loginname 登录名
     * @param loginpwd  登陆密码
     * @return  true表示登陆成功，false 表示登陆失败
     */
    private static boolean checkNameAndpwd(String loginname, String loginpwd) {
   
         //默认登陆失败
        boolean ok=false;
        Connection conn=null;
        Statement stmt=null;
        ResultSet rs=null;
        try{
   
            //1、注册驱动
            Class.forName("com.mysql.cj.jdbc.Driver");
            //2、获取连接
            conn= DriverManager.getConnection("jdbc:mysql://localhost:3306/students","root","root");
            //获取数据库操作对象
            stmt=conn.createStatement();
            //执行SQL语句(字符串拼接获取登录用户和密码)
            String sql="select * from t_user where login_name='"+loginname+"' and login_pwd='"+loginpwd+"'";
            rs=stmt.executeQuery(sql);//此时会发送sql给DBMS,进行sql语句的编译
            //处理查询结果集
            if(rs.next()){
   
                ok=true;//如果结果集有数据
                String sname=rs.getString