這兩天在上課時被同學拿了一段程式碼問我，這段程式碼有什麼問題，我看了一會說：Connection和PreparedStatement都沒關。他說不止這方面的問題，還有sql注入的問題，我就堅決的說使用了佔位符不存在sql注入的問題，但是他提出了一種情況，在我看來也很有道理的情況。

pstmt = conn.prepareStatement("delete from user where user.id=?");

pstmt = conn.prepareStatement("delete from user where user.id=?");
pstmt.setString(1, "w' or '2'='2");
 

delete from user where user.id='w' or '2'='2';

回到宿舍我專門寫了程式測試一下，事實證明並不想我們想的這樣，的確使用佔位符不存在注入問題，所以解釋是在執行的時候把一些字元給轉義了，但這個轉義的過程是在什麼地方轉義的呢，把上面的sql語句在mysql控制檯上執行一下，檢視一下資料看到所有資料都被刪除完，那隻能解釋成在java程式中轉義的，於是我就去看java的原始碼，發現在java原始碼中PreparedStatement只是一個介面，而且是沒有子類的介面，我就很納悶，沒實現怎麼用的？所以一定有實現的地方，去網上查了一下，jdk直提供介面，而具體實現是由資料庫廠商實現的，我們用的就是資料庫廠商實現的類。於是我就又去查mysql的jar包原始碼，發現有個PreparedStatement實現了jdk中的PreparedStatement了。裡面的setString方法如下實現：

public void setString(int parameterIndex, String x) throws SQLException {
		// if the passed string is null, then set this column to null
		if (x == null) {
			setNull(parameterIndex, Types.CHAR);
		} else {
			StringBuffer buf = new StringBuffer((int) (x.length() * 1.1));
			buf.append('\'');

			int stringLength = x.length();

			//
			// Note: buf.append(char) is _faster_ than
			// appending in blocks, because the block
			// append requires a System.arraycopy()....
			// go figure...
			//
			for (int i = 0; i < stringLength; ++i) {
				char c = x.charAt(i);

				switch (c) {
				case 0: /* Must be escaped for 'mysql' */
					buf.append('\\');
					buf.append('0');

					break;

				case '\n': /* Must be escaped for logs */
					buf.append('\\');
					buf.append('n');

					break;

				case '\r':
					buf.append('\\');
					buf.append('r');

					break;

				case '\\':
					buf.append('\\');
					buf.append('\\');

					break;

				case '\'':
					buf.append('\\');
					buf.append('\'');

					break;

				case '"': /* Better safe than sorry */
					if (this.usingAnsiMode) {
						buf.append('\\');
					}

					buf.append('"');

					break;

				case '\032': /* This gives problems on Win32 */
					buf.append('\\');
					buf.append('Z');

					break;

				default:
					buf.append(c);
				}
			}

			buf.append('\'');

			String parameterAsString = buf.toString();

			byte[] parameterAsBytes = null;

			if (!this.isLoadDataQuery) {
				parameterAsBytes = StringUtils.getBytes(parameterAsString,
						this.charConverter, this.charEncoding, this.connection
								.getServerCharacterEncoding(), this.connection
								.parserKnowsUnicode());
			} else {
				// Send with platform character encoding
				parameterAsBytes = parameterAsString.getBytes();
			}

			setInternal(parameterIndex, parameterAsBytes);
		}
	}
 

到此就告一段落，可以發現在setString時最外面的單引號被轉義了，也就是說setString後的sql語句是這樣的

delete from user where user.id=\'w' or '2'='2\';