【Java】防止SQL注入问题解决XSS攻击（个人梳理）

原创

于 2021-01-20 15:33:27 发布 · 596 阅读

CC 4.0 BY-SA版权

本文刊载的所有内容，均由个人在工作学习中整理用于个人的工作或学习的复习之用，为原创文章本文章不得用于各种商业用途不得侵犯本文及相关权利人的合法权利。使用本文章进行转载或刊登以及其他涉及文章著作版权时，必须经过此csdn博客博主账号人lsb543284593同意，违者必究

文章标签：

#sql #安全 #xss #jstl #java

本文梳理了Java中防止SQL注入和XSS攻击的方法。针对SQL注入，强调了避免使用拼接SQL，推荐使用占位符的方式。对于XSS攻击，解释了其原理并提出使用预编译功能的标签来过滤恶意代码。

【Java】防止SQL注入问题解决XSS攻击（个人梳理）

前言

sql注入是什么，就是用户通过在表单中填写包含 SQL 关键字的数据来使数据库执行非常规代码的过程。简单来说，就是客户端插入的数据做了代码才能干的事情。这个问题的来源是，SQL 数据库的操作是通过 SQL 语句来执行的，而无论是执行代码还是数据项都必须写在 SQL 语句之中，这就导致如果我们在数据项中加入了某些 SQL 语句关键字（比如说 SELECT、DROP 等等），这些关键字就很可能在数据库写入或读取数据时得到执行。

一、sql注入案例之一（拼接sql）

  @Override
    public List<Index> listIndexPageByCode(int pageNo, int pageSize, String code) {
   
   
        String sql = "SELECT * FROM `自己的表名` where `code` = '"+code+"' LIMIT ? , ?";
        logger.info("sql : " + sql);
        logger.info(