在JDBC中使用preparedStatement防止SQL注入

最新推荐文章于 2025-06-30 18:15:59 发布

龟的小号

最新推荐文章于 2025-06-30 18:15:59 发布

阅读量5.5k

点赞数 2

CC 4.0 BY-SA版权

分类专栏： javaweb

本文链接：https://blog.youkuaiyun.com/hju22/article/details/87538733

本文介绍了SQL注入的原理和危害，给出了登录场景下SQL注入的实例，如免账号登录和删除数据库。为防止SQL注入，文章推荐使用PreparedStatement，通过预编译SQL语句和设置参数的方式确保安全性。同时，文章还展示了登录项目的实现，包括用户表结构、项目结构、登录功能的Java实现以及单元测试。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文章目录

一、SQL注入

SQL注入是一种比较常见的网路攻击方式，一些恶意人员在需要用户输入的地方，恶意输入SQL语句的片段，通过SQL语句，实现无账号登录，甚至篡改数据库。

二、SQL注入实例

登录场景：

在一个登录界面，要求用户输入账号和密码。

我们的代码中会有如下SQL语句：

String sql="select * from user where account='"+account+"' and password='"+password+"'";

情形1：（免账号登录）

账号：' or 1=1-- （--后面有一个空格）
密码：
当我们输入了这个账号和密码，那么SQL语句就变成：

String sql="select * from user where account='' or 1=1 -- ' and password=''";

在这里插入图片描述
这个查询条件就变成account=‘’ 或者1=1，这个条件是恒成立的。
后面的-- ，就是注释。
这样就可以实现免账号登录。

情形2：（删除数据库）

账号：';drop database test;-- （--后面有一个空格）
密码：
当我们输入了这个账号和密码，那么SQL语句就变成：

String sql="select * from user where account='';drop database test;-- ' and password=''";