sql防注入

最新推荐文章于 2024-07-09 16:44:25 发布

原创最新推荐文章于 2024-07-09 16:44:25 发布 · 982 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#java #sql

工具类专栏收录该内容

31 篇文章

订阅专栏

该博客介绍了一个用于过滤SQL注入关键字的Java工具类`SqlCheckUtil`。工具类包含一个正则表达式，用于匹配并移除可能的SQL注入攻击字符串，并提供了`checkSql`和`getValidSql`两个方法来检查和处理输入参数，确保其安全性。如果输入参数包含非法字符，工具类将抛出异常。


import java.util.regex.Pattern;

/**
 * 过滤sql注入工具类
 */
public class SqlCheckUtil {
    /**
     * 过滤sql注入关键字
     *
     * @param paramStr
     * @return true代表合法, false 代表不合法参数
     * \\b  表示 限定单词边界  比如  select 不通过   1select则是可以的
     */
    private static String reg = "(?:')|(?:--)|(/\\*(?:.|[\\n\\r])*?\\*/)|"
            + "(\\b(select|update|union|and|or|delete|insert|truncate|char|into|substr|ascii|declare|exec|count|master|into|drop|execute)\\b)";
    private static Pattern sqlPattern = Pattern.compile(reg, Pattern.CASE_INSENSITIVE);

    public static boolean checkSql(String paramStr) {
        if (paramStr == null || StringUtils.isEmpty(paramStr)) return false;
        if (sqlPattern.matcher(paramStr).find()) {
            return false;
        }
        return true;
    }

    public static String getValidSql(String paramStr) throws Exception {
        if(checkSql(paramStr)) return paramStr;
        throw new Exception(ExceptionEnumCommon.EXCEPTION_005,"含有非法字符，请检查！");
    }
}