SQL注入问题 (SQL Injection)
1,jdbc使用PreparedStatement,PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理
2,检查是否有违法字符串
3,mybatis采用#,尽量少用$,${param} 和 #{param} 两个不同的占位符来作为示例解释 Statement 和 PreparedStatement (mybatis和jdbc的低层原理是一样的)
4,永远不要使用动态拼装SQL,可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。
那么为什么PreparedStatement可以防止sql注入呢?原理是什么?
当我们使用PreparedStatement进行传参时,若传入参数为:张三’ or 1 = ‘1 时,经过程序后台进行转义后,真正的sql其实变成了: select * from user where name = ‘张三\’ or 1 = \’1’;显然这样查询出来的结果一定为空。
总结:PreparedStatement不是将参数简单拼凑成sql,而是做了一些预处理,将参数转换为string,两端加单引号,将参数内的一些特殊字符(换行,单双引号,斜杠等)做转义处理,这样就很大限度的避免了sql注入。