防止sql注入:替换危险字符

在用户名或者密码框中输入“11‘ or ’1‘ = '1”时,生成的sql语句将为“selec * from userInfo where name = '11' or '1' = '1' and pwd = '11' or '1' = '1'”;该语句永远为真。为了防止sql语句的注入,提高程序的安全性。需要替换危险字符。
 
Java代码段:
 
public class Checkstr {
public String dostring(String str){
     str=str.replaceAll(";","");
    str=str.replaceAll("&","&");
     str=str.replaceAll("<","&lt;");
     str=str.replaceAll(">","&gt;");
     str=str.replaceAll("'","");
     str=str.replaceAll("--","");
     str=str.replaceAll("/","");
     str=str.replaceAll("%","");
   return str;
}
}

posted @ 2013-10-11 10:48  tbyang  阅读(1844)  评论(0编辑  收藏  举报