java处理sql注入方法——sql转义

昨天被扫描出来sql注入问题，之前以为已经解决了，没想到还是出现了。

网上现有方法：

1、preparestatement

由于每次执行都需要prepare，所以不推荐使用

2、一个单引号变成两个

replace("'","''")

其他的字符串替代方法有着局限性，就不列举了。

我最开始使用的是2方法，但是还是有方法可以破解。

后来参考php的addslashes函数，写了一个java的escapeSql方法，如下：

public static String escapeSql(String str) {
		if (str == null) {
			return null;
		}
		StringBuilder sb = new StringBuilder();
		for (int i = 0; i < str.length(); i++) {
			char src = str.charAt(i);
			switch (src) {
			case '\'':
				sb.append("''");// hibernate转义多个单引号必须用两个单引号
				break;
			case '\"':
			case '\\':
				sb.append('\\');
			default:
				sb.append(src);
				break;
			}
		}
		return sb.toString();
	}

经测试，已修复sql注入问题。