SQL注入與Java

標籤：過程   charles   允許   state   jdbc   編譯   處理   轉義   stat   

前面這篇文章介紹了SQL注入，並且主要就PHP的內容做了實驗：

http://www.cnblogs.com/charlesblc/p/5987951.html

還有這篇文章對處理方案做了介紹(PreparedStatement in PDO or mysqli)

http://www.cnblogs.com/charlesblc/p/5988919.html

 

那麼對於Java是怎樣的情況呢？

首先，盡量避免sql拼接，並且參數加引號。使用正則過濾，前端過濾。使用字串轉換，轉義處理。

最終，盡量採用先行編譯語句集 PreparedStatement。

 

分析得出，PreparedStatement相比Statement基本解決了SQL注入問題，而且效率也有一定提升。

PreparedStatement對參數都做了轉義，不允許引號的直接傳遞；

不允許傳參過程中改變sql的邏輯結構，不允許在不同的插入時間改變查詢的邏輯結構；

使用PreparedStatement提供的傳參介面setXXX，在類型有誤時會直接報錯。

 

基本SQL注入就被過濾了（用基本，是因為現在也預測不到後面攻擊技術是否有突破或者新的漏洞發現）。

另外，WEB層我們可以過濾使用者的輸入來防止SQL注入比如用Filter來過濾全域的表單參數。

 

Java串連資料庫基本使用Mybatis（之前也用Hibernate）。裸JDBC調用，基本很少用了。所以就不實驗了。

 

SQL注入與Java