SQL注入问题

SQL注入问题 （SQL Injection）

1，jdbc使用PreparedStatement，PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理

2，检查是否有违法字符串

3，mybatis采用#，尽量少用$，${param} 和 #{param} 两个不同的占位符来作为示例解释 Statement 和 PreparedStatement (mybatis和jdbc的低层原理是一样的)

4，永远不要使用动态拼装SQL，可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。

 

那么为什么PreparedStatement可以防止sql注入呢？原理是什么？

 

 

当我们使用PreparedStatement进行传参时，若传入参数为：张三’ or 1 = ‘1 时，经过程序后台进行转义后，真正的sql其实变成了： select * from user where name = ‘张三\’ or 1 = \’1’；显然这样查询出来的结果一定为空。

 

总结：PreparedStatement不是将参数简单拼凑成sql，而是做了一些预处理，将参数转换为string，两端加单引号，将参数内的一些特殊字符（换行，单双引号，斜杠等）做转义处理，这样就很大限度的避免了sql注入。