sql注入

最新推荐文章于 2025-08-15 10:38:51 发布

weixin_33881050

最新推荐文章于 2025-08-15 10:38:51 发布

阅读量63

点赞数

文章标签：数据库 java php

本文介绍参数化预编译如何通过setString()和setInt()等方法有效防御SQL注入攻击，同时讨论了字符集配置不当可能导致的宽字节注入问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1. 参数化预编译之所以能防御住SQL注入，只要是基于以下2点:
    1) setString(): WEB程序接收字符串的场景
    将用户输入的参数全部强制转换为字符串，并进行适当的转义，防止了闭合的产生
    2) setInt(): WEB程序接收整型的场景 将用户输入的非整型参数强制转换为整型，并去除潜在的"非整型注入字符"，类似与PHP中的intVal()防御思路 2. 并不是说使用了参数化预编译方法执行SQL，就不会有注入的发生了，当WEB系统和DataBase系统的字符集配置不当，可能会导致宽字节注入的发生


Java JDBC现在主流的做法是"本地协议驱动"，为此，Java需要借助不同厂商提供的数据库驱动(本质上是一个JAR包)来和数据库进行连接



http://www.cnblogs.com/LittleHann/p/3695332.html