防止SQL注入的几个途径

防SQL注入，最简单的办法是杜绝SQL拼接，SQL注入攻击能得逞是因为在原有SQL语句中加入了新的逻辑，如果使用PreparedStatement来代替Statement来执行SQL语句，其后只是输入参数，SQL注入攻击手段将无效，这是因为PreparedStatement不允许在不同的插入时间改变查询的逻辑结构，大部分的SQL注入已经挡住了，在WEB层我们可以过滤用户的输入来防止SQL注入比如用Filter来过滤全局的表单参数。转载http://www.iteye.com/topic/617072

	/***
	 * @ 字符串过滤
	 * @ 防止sql注入
	 * ***/
	
	public static String filterContent(String content){

		String flt = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|; |or|-|+|,"; 
		String filter[] = flt.split("|"); 
		for(int i=0;i<filter.length;i++){
			
			content.replace(filter[i], ""); 
		}

		return content;
	}