JDBC SQL Inject

最新推荐文章于 2021-05-27 18:32:28 发布

kennyhazel

最新推荐文章于 2021-05-27 18:32:28 发布

阅读量147

点赞数

CC 4.0 BY-SA版权

分类专栏： JDBC 文章标签： JDBC

本文链接：https://blog.youkuaiyun.com/kennyhazel/article/details/84059063

JDBC 专栏收录该内容

13 篇文章

订阅专栏

本文深入探讨了SQL注入攻击的概念及其对数据库安全的影响，并重点对比了Statement和PreparedStatement的区别，阐述了使用PreparedStatement避免SQL注入攻击的重要性，以及其在防注入攻击、多次运行速度、防止数据库缓冲区溢出和提高代码可读性和可维护性方面的优势。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

package cj;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.Statement;

public class SQLInject {
   public static void main(String[] args) throws Exception{
	   read("' or 1 or '");
   }
   
	public static void read(String name) throws Exception {
		Connection con = null;
		ResultSet rs = null;
		Statement st = null;
		try {
			con = JdbcUtil.getConnection();
			st = con.createStatement();
			String sql = "select id, name from test where name='"+name+"'";
			System.out.println("sql:"+sql);
			rs = st.executeQuery(sql);
			while (rs.next()) {
				System.out.print(rs.getObject("name") );
				System.out.println();
			}
		} finally {
			JdbcUtil.free(rs, st, con);
		}
	}
}

这段代码会照成SQL注入,查询出所有的记录。

我们可以看到打印的结果：

sql:select id, name from test where name='' or 1 or ''

这条sql语句怎么样都会执行。

   SQL注入攻击是利用是指利用设计上的漏洞在目标服务器上运行Sql语句以及进行其他方式的攻击，动态生成Sql语句时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因。
    对于JDBC而言，SQL注入攻击只对Statement有效，对PreparedStatement 是无效的这是因为PreparedStatement不允许在不同的插入时改变查询的逻辑结构。
    如验证用户是否存在的SQL语句为：
    select count(*) from usertable where name='用户名 ' and pswd='密码 '
    如果在用户名字段中输入 ' or '1'='1' or '1'='1或是在密码字段中输入 1' or '1'='1将绕过验证，但这种手段只对只对 Statement有效，对PreparedStatement无效。
    PreparedStatement 相对 Statement有以下优点：
    1.防注入攻击
    2.多次运行速度快
    3.防止数据库缓冲区溢出
    4.代码的可读性可维护性好
    这四点使得 PreparedStatement 成为访问数据库的语句对象的首选，缺点是灵活性不够好,有些场合还是必须使用Statement。