JDBC如何避免SQL注入
一 . 什么是SQL注入
SQL注入（SQL Injection）是一种代码注入技术，它允许攻击者将或“注入”恶意的SQL命令到后端数据库引擎执行。这些恶意的SQL命令可以执行未授权的数据库查询、修改数据、管理数据库服务器上的文件系统、执行管理操作（如关闭数据库服务）等，从而可能对网站或应用程序造成严重的安全威胁。
假设有一个简单的Web应用程序，它使用以下SQL查询来根据用户提供的用户名查找用户信息：
SELECT * FROM users WHERE username = '' + @username + ''
如果用户输入了admin'--（注意末尾的--是SQL注释的开始），那么生成的SQL查询将变为：
SELECT * FROM users WHERE username = 'admin'--'
由于--之后的任何内容都被视为注释，因此查询实际上变成了：
SELECT * FROM users WHERE username = 'admin'
这允许攻击者绕过正常的验证逻辑，直接以admin用户的身份检索信息，即使他们不知道admin用户的密码。
二 . 如何避免?
使用PreparedStatement解决SQL注入问题
PreparedStatement 在 Java 中是避免 SQL 注入的一种有效手段。它通过使用参数化查询来工作，这种方式确保了用户输入被当作数据而不是 SQL 代码的一部分来执行。以下是 `PreparedStatement如何避免 SQL 注入的详细解释：
1. 参数化查询
当你使用PreparedStatement 时，你首先编写一个带有占位符（通常是 ?）的 SQL 语句。然后，你通过 set 方法（如 setInt(), setString() 等）为这些占位符提供具体的值。这些值在运行时被绑定到 SQL 语句中，而不是在 SQL 语句被解析或编译时。
2. 编译一次，执行多次
PreparedStatement对象在数据库中被编译一次，但可以被执行多次，每次执行时只需替换占位符的值。这种机制不仅提高了性能（因为避免了重复的编译），还增强了安全性，因为 SQL 语句的结构在编译时就已经固定，不会被后续的用户输入所改变。
3. 防止 SQL 注入
由于 PreparedStatement 使用占位符和参数绑定机制，用户输入的数据被当作数据值来处理，而不是 SQL 代码的一部分。这意味着即使输入中包含 SQL 关键字、特殊字符或注释等，它们也不会被数据库解析为 SQL 语句的一部分，从而避免了 SQL 注入攻击。
我们来看下列代码 , 这里进行了一个登录的校验 , 使用
connection.prepareStatement("SELECT * FROM user WHERE username = ? AND password = ?");
这样就可以有效避免sql注入问题
package com.Month08.Day_11;import com.Month07.Day_02.Class1;import java.sql.*;
import java.util.Scanner;public class HDBC {public static void main(String[] args) throws ClassNotFoundException, SQLException {// statement.executeUpdate("insert into user(username , password) values (123,123)");select();}public static void select()throws ClassNotFoundException, SQLException {Scanner sc = new Scanner(System.in);System.out.println("请输入用户名");int username = sc.nextInt();System.out.println("请输入密码");int password = sc.nextInt();Class.forName("com.mysql.jdbc.Driver");Connection connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/users","root","root");PreparedStatement preparedStatement = connection.prepareStatement("SELECT * FROM user WHERE username = ? AND password = ?");preparedStatement.setInt(1,username);preparedStatement.setInt(2,password);ResultSet resultSet = preparedStatement.executeQuery();while (resultSet.next()){System.out.println("登陆成功");}connection.close();}
}
