JDBC的PreparedStatement(SQL模板绑定接口，可以防止SQL攻击)

简介：

参数化SQL语句发送接口；

在sql语句中使用 ' ? ' 占位符表示参数；

只会进行

一个对象绑定一条SQL语句。

所在包：

Module java.sql
Package java.sql
Interface PreparedStatement

继承关系：

public interface PreparedStatement
extends Statement

创建方法：

使用的是Connection接口中的方法：

PreparedStatement prepareStatement​(String sql) throws SQLException
　　sql:绑定的模板，一个SQL语句可能包含一个或多个'?'在参数占位符

设置参数的方法：

public void setString​(int parameterIndex, String x) throws SQLException
这是一个设置String类型参数的方法：
　　parameterIndex: 第几个参数
　　x：参数的值

setString()是设置String类型的参数，那么可以想到setDouble()就是设置double类型的参数，一次类推，数据库中需要什么类型的参数就使用对应的方法。

执行方法：

PreparedStatement执行SQL的方法没有参数，因为它在创建的时候就和SQL语句绑定在一起的了，换句话说就是只能执行创建时绑定的那条SQL语句。

和Statement对象一样：

public ResultSet executeQuery() throws SQLException

执行这个方法返回ResultSet对象；

public int executeUpdate() throws SQLException

执行这个方法返回影响的行数。

 

SQL攻击：

SQL攻击就是利用程序传递参数时的识别语句漏洞进行跨权限访问。

做一个简单的案例：

在MySQL数据库中创建一个表：

create table t_user (
    username VARCHAR(50),
    `password` VARCHAR(50)
);

INSERT INTO t_user VALUE('zs','123');
INSERT INTO t_user VALUE('ls','123');
INSERT INTO t_user VALUE('ww','123');

创建一个方法连接数据库：

public boolean login2(String tusername,String tpassword) throws Exception {
        Connection con = null;
        Statement st = null;
        ResultSet rs = null;
        try {
            // 四个参数
            String driverClassName = "com.mysql.jdbc.Driver";
            String url = "jdbc:mysql://localhost:3306/db1";
            String username = "root";
            String password = "747699";
            
            //加载驱动
            Class.forName(driverClassName);
            
            // SQL模板
            String sql = "select * from t_user where username='"+tusername+"' and password='"+tpassword+"'";

            // 注册驱动
            con = DriverManager.getConnection(url, username, password);

            // 获取SQL对象
            st = con.createStatement();

            // 发送SQL获得ResultSet对象
            rs = st.executeQuery(sql);

            return rs.next();    // 存在着返回true
        } finally {    // 关闭资源
            if (rs != null)
                rs.close();
            if (st != null)
                st.close();
            if (con != null)
                con.close();
        }
    }

然后创建测试方法：

    @Test
    public void fun1() throws Exception {
        boolean isOk = login2("zs", "123");
        System.out.println(isOk);
    }

结果：

返回true就说明输入的参数在数据库中；

那么如果把传入的参数换一种方式：

　　@Test
    public void fun1() throws Exception {
        boolean isOk1 = login2("zs", "123");
        boolean isOk2 = login2("ls", "123");
        boolean isOk3 = login2("a' or 'a'='a", "a' or 'a'='a");
        System.out.println(isOk1);
        System.out.println(isOk2);
        System.out.println(isOk3);
    }

再查看输出结果：

可以发现还是返回的true，再看SQL语句就能明显的找出问题了，因为在SQL语句识别判断的时候，使用的是 or  'a'='a' 永真的语句，那么根本不用知道用户名和密码就能直接进入访问。

所以为了杜绝这种问题，就需要使用PreparedStatement接口将SQL语句参数化。

 

SQL语句参数化：

同样先创建方法连接数据库：

public boolean login1(String tusername, String tpassword) throws Exception {
        Connection con = null;
        PreparedStatement st = null;
        ResultSet rs = null;
        try {
            // 四个参数
            String driverClassName = "com.mysql.jdbc.Driver";
            String url = "jdbc:mysql://localhost:3306/db1";
            String username = "root";
            String password = "747699";
            
            //加载驱动
            Class.forName(driverClassName);
            
            // SQL模板
            String sql = "select * from t_user where username=? and password=?";

            // 注册驱动
            con = DriverManager.getConnection(url, username, password);

            // 获取SQL对象
            st = con.prepareStatement(sql);

            // 设置参数
            st.setString(1, tusername);    // 设置第一个问号
            st.setString(2, tpassword);    // 设置第二个问号

            // 发送SQL获得ResultSet对象
            rs = st.executeQuery();

            return rs.next();    // 存在着返回true
        } finally {    // 关闭资源
            if (rs != null)
                rs.close();
            if (st != null)
                st.close();
            if (con != null)
                con.close();
        }
    }

这里是使用的PreparedStatement对象，然后创建测试方法：

　　@Test
    public void fun1() throws Exception {
        boolean isOk1 = login1("zs", "123");
        boolean isOk2 = login1("ls", "123");
        boolean isOk3 = login1("'a' or 'a'='a'", "'a' or 'a'='a'");
        System.out.println(isOk1);
        System.out.println(isOk2);
        System.out.println(isOk3);
    }

查看结果：

这下就不能通过判断了。