防止SQL注入的方法

定义：

所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

2. 防止SQL注入的方法：

A：使用PreparedStatement代替Statement

   1）使用PreparedStatement 比Statement的代码的可读性和可维护性更好.
   2）PreparedStatement尽最大可能提高性能.
   3）最重要的一点是PreparedStatement极大地提高系统的安全性.

[html]  view plain copy

1. sql="select * from admin where username=? and password=?";  
2. PreparedStatement psmt= con.prepareStatement(sql);  
3. psmt.setString(1,username);  
4. psmt.setString(2,password);  
5. ResultSet rs = psmt.executeQuery();  
6. if(rs.next){  
7. rs.close();  
8. con.close();  
9. return false;  
10. }  
11. else{  
12. rs.close();  
13. con.close();  
14. return true;  
15. }  

B: 使用字符串过滤

[html]  view plain copy

1. public static String filterContent(String content){  
2.    String flt ="'|and|exec|insert|select|delete|update|count|*|%                     
3.   
4. |chr|mid|master|truncate|char|declare|;|or|-|+|,";  
5.    Stringfilter[] = flt.split("\\|");  
6.  for(int i=0;i<filter.length ; i++)  
7.     {  
8.       content.replace(filter[i], "");  
9.     }  
10.      return content;  
11.   }  

经验分享： 
1、分隔符为“.”(无输出),“|”(不能得到正确结果)转义字符时,“*”,“+”时出错抛出异常,都必须在前面加必须得加"\\",如split(\\|); 
2、如果用"\"作为分隔,就得写成这样：String.split("\\\\"),因为在Java中是用"\\"来表示"\"的,字符串得写成这样：String Str="a\\b\\c"; 
转义字符,必须得加"\\"; 
3、如果在一个字符串中有多个分隔符,可以用"|"作为连字符,比如：String str="Java string-split#test",可以用Str.split(" |-|#")把每个字符串分开;

或者使用Filter来过滤全局的表单参数。