JAVA中jdbc连接数据库 sql注入与PrepareStatement预处理

最新推荐文章于 2024-08-22 08:59:48 发布

原创最新推荐文章于 2024-08-22 08:59:48 发布 · 561 阅读

1 ·

CC 4.0 BY-SA版权

JAVA基础专栏收录该内容

92 篇文章

订阅专栏

本文对比了使用Statement和PreparedStatement执行SQL语句的区别，强调了PreparedStatement在防止SQL注入攻击方面的优势。通过具体示例展示了如何正确地使用PreparedStatement来绑定参数，避免了直接拼接SQL语句可能带来的安全隐患。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

连接数据的步骤如下：
1.注册驱动
2.获取连接
3.创建执行sql语句的对象
4.书写一个SQL语句
5.执行SQL语句
6.对结果集进行处理

一下的这种情况，可能存在SQL注入的情况

public void login(String username, String password) throws ClassNotFoundException, SQLException {
		// 1.注册驱动
		Class.forName("com.mysql.jdbc.Driver");
		// 2.获取连接
		Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/web08", "root", "root");
		// 3.创建执行sql语句的对象
		Statement stmt = conn.createStatement();
		// 4.书写一个sql语句
		String sql = "select * from tbl_user where " + "uname='" + username + "' and upassword='" + password + "'";
		// 5.执行sql语句
		ResultSet rs = stmt.executeQuery(sql);
		// 6.对结果集进行处理
		if (rs.next()) {
			System.out.println("恭喜您，" + username + ",登录成功!");
			System.out.println(sql);
		} else {
			System.out.println("账号或密码错误!");
		}
		if (rs != null)
			rs.close();
		if (stmt != null)
			stmt.close();
		if (conn != null)
			conn.close();
	}

PreparedStatement 解决了这种情况

public void login1(String username, String password) throws ClassNotFoundException, SQLException {
		// 1.注册驱动
		Class.forName("com.mysql.jdbc.Driver");
		// 2.获取连接
		Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/web08", "root", "root");
		// 3.编写sql语句
		String sql = "select * from tbl_user where uname=? and upassword=?";
		// 4.创建预处理对象
		PreparedStatement pstmt = conn.prepareStatement(sql);
		// 5.设置参数(给占位符)
		pstmt.setString(1, username);
		pstmt.setString(2, password);
		// 6.执行查询操作
		ResultSet rs = pstmt.executeQuery();
		// 7.对结果集进行处理
		if (rs.next()) {
			System.out.println("恭喜您，" + username + ",登录成功!");
			System.out.println(sql);
		} else {
			System.out.println("账号或密码错误!");
		}
		if (rs != null)
			rs.close();
		if (pstmt != null)
			pstmt.close();
		if (conn != null)
			conn.close();
	}
}