如何避免SQL注入攻擊

可以使用Statement中的子介面實現類PreparedStatement來避免SQL注入攻擊

PreparedStatement

表示預編譯的SQL語句的物件，Sql語句是預編譯的，並且儲存在PreparedStatement物件中，這個物件可以多次有效的執行這個SQL語句。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;

public class PreparedStatementDemo
 
 {

    private static String className = "com.mysql.jdbc.Driver";
    private static String password = "123";
    private static String user = "root";
    private static String url = "jdbc:mysql://localhost:3306/mydb";

    public static void main(String[] args) throws Exception {
        //註冊驅動
        Class.forName(className);
        //獲取連線資料庫的物件
 

        Connection conn =  DriverManager.getConnection(url, user, password);
        String sql = "SELECT * FROM userInfo WHERE username=? AND password=?";
        //獲取SQL語句執行物件
        PreparedStatement pst = conn.prepareStatement(sql);
        pst.setString(1, "zhangsan");
        pst.setString(2, "123456"
 
);

        ResultSet rs = pst.executeQuery();
        System.out.println("使用者名稱\t密碼");
        while(rs.next()) {
            System.out.println(rs.getString("username") + "\t" + rs.getString("password"));
        }

        rs.close();
        pst.close();
        conn.close();
    }

}

在上面的程式碼裡，?表示的是佔位符，不再像Statement中那樣直接使用變數

再後來的setXXX的時候XXX的型別要與資料庫中的型別相一致， 否則會出錯。

同時使用PreparedStatement之後不再向executeXXX()傳遞SQL語句引數。

使用PreparedStatement為資料表中新增一條資料

sql = "INSERT INTO userInfo(username, password) VALUES(?, ?)";
Scanner in = new Scanner(System.in);
String usernameStr = in.nextLine();
String passwordStr = in.nextLine();
pst = conn.prepareStatement(sql);
pst.setString(1, usernameStr);
pst.setString(2, passwordStr);
int len = pst.executeUpdate();
System.out.println("修改了"+len+"條資料！");
sql = " SELECT * FROM userInfo";
pst = conn.prepareStatement(sql);
rs =  pst.executeQuery();
System.out.println("使用者名稱\t密碼");
while(rs.next()) {
    System.out.println(rs.getString("username") + "\t" + rs.getString("password"));
}