JDBC登录防sql注入

JDBC登录防sql注入

日常表白张春凤老师！

下面是我的mysql信息：
我的mysql为5.5版本，老东西了见谅哈！mysql版本不同，connection连接的内容也不一样，这个需要注意！还有就是注意端口号，账号密码，sql语句要正确填写哦！！！

下面是sql的创建部分：

CREATE TABLE `user` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `username` varchar(32) DEFAULT NULL,
  `password` varchar(32) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8;

下面是JDBC登录防sql注入：

package will.delete.test;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.util.Scanner;
//登录功能
public class TestNosql {
	public static void main(String[] args) {
		Scanner scanner = new Scanner(System.in);
		System.out.println("请输入用户名: ");
		String username = scanner.nextLine();
		System.out.println("请输入密码: ");
		String password = scanner.nextLine();
		boolean flag = new TestNosql().login(username, password);
		if (flag) {
			System.out.println("登陆成功");
		} else {
			System.out.println("用户名或者密码错误");
		}
	}

	public boolean login(String username, String password) {
		if (username == null || password == null) {
			return false;
		}
		Connection connection = null;
		PreparedStatement preparedStatement = null;
		ResultSet resultSet = null;
		try {
			connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/zua_stuablity?characterEncoding=utf8",
					"root", "wdc123");
			String sql = "select * from user where username = ? and password = ?";
			preparedStatement = connection.prepareStatement(sql);
			preparedStatement.setString(1, username);//sql语句种问号的填写
			preparedStatement.setString(2, password);
			resultSet = preparedStatement.executeQuery();
			return resultSet.next();
		} catch (SQLException e) {
			e.printStackTrace();
		} finally {
			
				if (resultSet != null) {
					try {
						resultSet.close();
					} catch (SQLException e) {
						// TODO Auto-generated catch block
						e.printStackTrace();
					}

				}
				if (preparedStatement != null) {
					try {
						preparedStatement.close();
					} catch (SQLException e) {
						// TODO Auto-generated catch block
						e.printStackTrace();
					}

				}
				if (connection != null) {
					try {
						connection.close();
					} catch (SQLException e) {
						// TODO Auto-generated catch block
						e.printStackTrace();
					}

				}
		}
		return false;

	}
}
	

下面是防sql注入测试结果：

作死历险记：试了一下学校的老教务系统：正方教务系统http://202.196.166.139/，输入了学号，密码输入的a’ or ‘a’ = 'a然后出来了快乐的一幕！真好，又是作死的一天！哈哈😂