java:PreparedStatement可以防止sql注入的原因

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/xlantian/article/details/81806827

  java中对数据库访问的方法有多种。以操作MySql数据库为例。

 

  方法一:创建Statement对象,调用对象的execute(String)、executeQuery(String)等函数执行String字符串的sql语句。

         

Class.forName(com.mysql.jdbc.Driver);       //加载驱动
Connection con = DriverManager.getConnection("jdbc:mysql://....");  //创建与mysql中某个数据库的连接

Statement st = con.CreateStatement();    //创建一个Statement对象

String id = "03";                        //
String sq = "delete from table1 where id="+id; //构建sql语句
st.execute(sq);          //执行sql语句

上面这段代码的本意是要删除id=03的记录,但是如果有人将id的内容改为“03 or 1=1”。那么表中的任何记录都将被删除,后果十分严重。

  这是Statement的一大缺点:不能防止sql注入。

  另一个缺点是,每次执行都需要重新编译sql语句,效率低下。而PreparedStatement则解决了这些问题。

 

方法二:创建PreparedStatement对象

Class.forName(com.mysql.jdbc.Driver);       //加载驱动
Connection con = DriverManager.getConnection("jdbc:mysql://....");  //创建与mysql中某个数据库的连接


String sq = "delete from table1 where id=? and name=?"//构建sql语句,以?作为占位符,这个位置的值待设置
PreparedStatement ps = con.prepareStatement(sq);    //创建PreparedStatement时就传入sql语句,实现了预编译

ps.setString(1,"03");
ps.setString(2,"mao");          //设置sql语句的占位符的值,注意第一个参数位置是1不是0

ps.execute();          //执行这个PreparedStatement

//设置占位符的值还可以通过setObject(int,object)完成


//上面代码的作用时删除表中id=03且name=mao的记录

  为什么PreparedStatement能防止sql注入呢?

  因为sql语句是预编译的,而且语句中使用了占位符,规定了sql语句的结构。用户可以设置"?"的值,但是不能改变sql语句的结构,因此想在sql语句后面加上如“or 1=1”实现sql注入是行不通的。

实际开发中,一般采用PreparedStatement访问数据库,它不仅能防止sql注入,还是预编译的(不用改变一次参数就要重新编译整个sql语句,效率高),此外,它执行查询语句得到的结果集是离线的,连接关闭后,仍然可以访问结果集。

展开阅读全文

没有更多推荐了,返回首页