springmvc防sql注入 最简单最直接的方式

于 2016-11-11 14:29:00 发布
阅读量1.9k 收藏 2
点赞数
文章标签： java 数据库 测试
原文链接：https://my.oschina.net/hinull/blog/786285
版权

为什么80%的码农都做不了架构师？>>>   hot3.png

    一直以来服务器没有被攻击过，前一段时间忽然发现数据库中多了很多垃圾数据，很明显是被sql注入的行为，看来是时候要认真起来了。

    首先，什么是sql注入，度娘一下一大堆，官方语言我就不多说了，说说我自己的理解吧。

    sql注入就是通过url或者post提交数据时候，字符串类型的参数会被别人利用传入sql语句，最终破坏数据库或者达到一些见不得人的目的。

    有时候因为业务需要url中会带一些参数，比如  ?type=xxx 一些人就会把type写成sql语句

    比如:?type=' or 1=1--   最终拼接成的sql语句就变成了：select * from table where disabled=0 and  type='' or 1=1 -- and id=1  如此一来  --  后面的条件就会被屏蔽，结果就成了 1=1 也就是查询这张表所有数据。

    这还算是最温柔的，更有甚者，把输入的参数变成update  delete drop 不就麻烦大了。

    下面说一下最简单、直接、有效的方式吧：

1.写检测类：

import java.io.OutputStream;
import java.io.UnsupportedEncodingException;
import java.util.HashMap;
import java.util.Iterator;
import java.util.Map;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import javax.servlet.http.HttpServletResponse;

import net.sf.json.JSONObject;

/**
 * 包装 Request 对象，过滤参数值中的XML字符
 */
@SuppressWarnings("unchecked")
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
	private static final String[] EMPTY_STRING_ARRAY = new String[] {};

	private Map params;
	private HttpServletRequest request;
	private HttpServletResponse response;

	public XssHttpServletRequestWrapper(HttpServletRequest request,
			HttpServletResponse response) {
		super(request);
		this.request = request;
		this.response = response;
		params = new HashMap();
		Map rm = request.getParameterMap();
		Iterator iterator = rm.entrySet().iterator();
		while (iterator.hasNext()) {
			Map.Entry entry = (Map.Entry) iterator.next();
			Object key = entry.getKey();
			String[] value = (String[]) entry.getValue();
			if (value != null && value.length > 0) {
				String[] newValue = new String[value.length];
				for (int i = 0, m = value.length; i < m; i++) {
					newValue[i] = Utility.escapeXml(value[i]);
				}
				params.put(
						Utility.escapeXml(key == null ? "" : key.toString()),
						newValue);
			} else
				params.put(Utility.escapeXml(key.toString()),
						EMPTY_STRING_ARRAY);
		}
	}

	// 效验
	protected static boolean sqlValidate(String str) {
		str = str.toLowerCase();// 统一转为小写
		str.replaceAll("--", "——");
		str.replaceAll("'", "’");
		String badStr = "'|or |exec|execute|insert|select|delete|update|master|truncate|javascript|count(*)|"
				+ "declare|create|" + "grant|script|iframe" + "|--";// 过滤掉的sql关键字，可以手动添加
		String[] badStrs = badStr.split("\\|");
		for (int i = 0; i < badStrs.length; i++) {
			if (str.indexOf(badStrs[i].toLowerCase()) >= 0) {
				return true;
			}
		}
		return false;
	}

	@Override
	public String getParameter(String name) {
		String[] value = (String[]) params.get(name);
		if (value != null)
			if (value.length > 0)
				return value[0];
			else
				return "";
		else
			return null;
	}

	@Override
	public Map getParameterMap() {
		return params;
	}

	@Override
	public String[] getParameterValues(String name) {
		return (String[]) params.get(name);
	}

	public boolean isOk() {
		// 对所有请求参数的name和value做字符编码并缓存
		Map rm = request.getParameterMap();
		Iterator iterator = rm.entrySet().iterator();
		while (iterator.hasNext()) {
			Map.Entry entry = (Map.Entry) iterator.next();
			Object key = entry.getKey();
			String[] value = (String[]) entry.getValue();
			if (value != null && value.length > 0) {
				String[] newValue = new String[value.length];
				for (int i = 0, m = value.length; i < m; i++) {
					newValue[i] = Utility.escapeXml(value[i]);
					if (sqlValidate(value[i])) {
						return false;
					}
				}
			}
		}
		return true;
	}
}

2.写一个过滤器，拦截请求，检查字符串类型的参数：

import java.util.HashMap;
import java.util.Iterator;
import java.util.Map;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import javax.servlet.http.HttpServletResponse;

/**
 * 包装 Request 对象，过滤参数值中的XML字符
 */
@SuppressWarnings("unchecked")
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
	private static final String[] EMPTY_STRING_ARRAY = new String[] {};

	private Map params;
	private HttpServletRequest request;
	private HttpServletResponse response;

	public XssHttpServletRequestWrapper(HttpServletRequest request,
			HttpServletResponse response) {
		super(request);
		this.request = request;
		this.response = response;
		params = new HashMap();
		Map rm = request.getParameterMap();
		Iterator iterator = rm.entrySet().iterator();
		while (iterator.hasNext()) {
			Map.Entry entry = (Map.Entry) iterator.next();
			Object key = entry.getKey();
			String[] value = (String[]) entry.getValue();
			if (value != null && value.length > 0) {
				String[] newValue = new String[value.length];
				for (int i = 0, m = value.length; i < m; i++) {
					newValue[i] = Utility.escapeXml(value[i]);
				}
				params.put(Utility.escapeXml(key==null?"":key.toString()), newValue);
			} else
				params.put(Utility.escapeXml(key.toString()),
						EMPTY_STRING_ARRAY);
		}
	}

	// 效验
	protected static boolean sqlValidate(String str) {
		str = str.toLowerCase();// 统一转为小写
		str.replaceAll("--","——");
		str.replaceAll("'","’"); 
		String badStr = "'|or |exec|execute|insert|select|delete|update|master|truncate|javascript|count(*)|"
				+ "declare|create|" + "grant|script|iframe" + "|--";// 过滤掉的sql关键字，可以手动添加
		String[] badStrs = badStr.split("\\|");
		for (int i = 0; i < badStrs.length; i++) {
			if (str.indexOf(badStrs[i].toLowerCase()) >= 0) {
				return true;
			}
		}
		return false;
	}
	

	@Override
	public String getParameter(String name) {
		String[] value = (String[]) params.get(name);
		if (value != null)
			if (value.length > 0)
				return value[0];
			else
				return "";
		else
			return null;
	}

	@Override
	public Map getParameterMap() {
		return params;
	}

	@Override
	public String[] getParameterValues(String name) {
		return (String[]) params.get(name);
	}

	public boolean isOk() {
		// 对所有请求参数的name和value做字符编码并缓存
		Map rm = request.getParameterMap();
		Iterator iterator = rm.entrySet().iterator();
		while (iterator.hasNext()) {
			Map.Entry entry = (Map.Entry) iterator.next();
			Object key = entry.getKey();
			String[] value = (String[]) entry.getValue();
			if (value != null && value.length > 0) {
				String[] newValue = new String[value.length];
				for (int i = 0, m = value.length; i < m; i++) {
					newValue[i] = Utility.escapeXml(value[i]);
					if (sqlValidate(value[i])) {
						return false;
					}
				}
			} 
		}
		return true;
	}
}

3.最后，web.xml中加入配置

<filter-mapping>
	<filter-name>Set Character Encoding</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>
<filter>
	<filter-name>XssFilter</filter-name>
	<filter-class>com.xtwl.gsl2.filter.XssFilter</filter-class>
</filter>
<filter-mapping>
	<filter-name>XssFilter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>

 

 

    有了以上过滤器就可以放心不少了，对的，是放心不少了，当然还有别的需要注意的，比如数据库用户一定不能用root或者sa。。服务器端验证必不可少。。不能直接拼装sql语句。。。等等。

    总之，防止sql注入，还是得从养成良好的编程习惯开始。

--------------------------------------------------------------------------------------------------------------------------------------

用得着的童鞋可以点个赞，收藏一下。

有不明白的地方可以联系我QQ或者群里，有问必答，互帮互助

QQ群：530456619

QQ：707012377

 

转载于:https://my.oschina.net/hinull/blog/786285

评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值