SQL注入与PreparedStatement接口

SQL注入

1、用户的表单输入域：防止一些特殊字符。

2、对密码加密：MD5加密

PreparedStatement接口

1、支持SQL的预编译。得到该对象时，就必须给他SQL语句。

2、支持参数占位符：  ?  一个问号代表着一个参数。

 

注：能用PreparedStatement就不要用Statement。

如：

conn = JdbcUtil.getConnection();
stmt = conn.prepareStatement("insert into user (username,password,email,birthday) values (?,?,?,?)");
stmt.setString(1, user.getUsername());
stmt.setString(2, user.getPassword());
stmt.setString(3, user.getEmail());
stmt.setDate(4, new java.sql.Date(user.getBirthday().getTime()));