防SQL注入工具

public class ParseSql {

    public static boolean check(String sql){
        if(StringUtils.isEmpty(sql)){
            return true;
        }
        sql = sql.toLowerCase();

        String badStr = "%|'|or |exec|execute|insert|select|delete|update|master|truncate|javascript|count(*)|"
                + "declare|create|grant|script|iframe|--";// 过滤掉的sql关键字，可以手动添加
        String[] badStrs = badStr.split("\\|");
        for (int i = 0; i < badStrs.length; i++) {
            if (sql.indexOf(badStrs[i].toLowerCase()) >= 0) {
                return false;
            }
        }
        return true;
    }
}

只需要在需要判断参数的前面调用一下，例如：

@RequestMapping("getBookList")
public String getBookList(Integer page, Model model, String classifyId, Integer sort) {
    Assert.state(ParseSql.check(classifyId),"参数非法");
    Integer totalRecords = magezineService.getTotalRecords(classifyId);
    …… …… ……
    …… …… ……    
}