JAVA程序防止SQL注入的方法

Java预防SQL注入：预编译语句集与正则表达式双重保障

最新推荐文章于 2025-02-26 20:02:38 发布

原创最新推荐文章于 2025-02-26 20:02:38 发布 · 370 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#java #sql #安全性

Java编程专栏收录该内容

5 篇文章

订阅专栏

本文详细介绍了Java中预防SQL注入的两种方法：采用预编译语句集，内置处理SQL注入的能力；通过正则表达式替换SQL语句中的特殊字符，如单引号、分号和注释符号，以防止SQL注入攻击。重点突出Java在防止SQL注入方面的强大能力。

第一种采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setString方法传值即可：

String sql= "select * from users where username=? and password=?;
PreparedStatement preState = conn.prepareStatement(sql);
preState.setString(1, userName);
preState.setString(2, password);
ResultSet rs = preState.executeQuery();

第二种是采用正则表达式将包含有单引号(')，分号(;) 和注释符号(--)的语句给替换掉来防止SQL注入:

public static String TransactSQLInjection(String str)
{
    return str.replaceAll(".*([';]+|(--)+).*", " ");
}

userName=TransactSQLInjection(userName);
password=TransactSQLInjection(password);

String sql="select * from users where username='"+userName+"' and password='"+password+"' "
Statement sta = conn.createStatement();
ResultSet rs = sta.executeQuery(sql);

安全性：Java只要使用PreparedStatement，就不会存在注入问题。至今还没遇到用了PreparedStatement还会被注入的情况。