SQL注入
将jdbc看作一个函数,输入sql,输出数据:
- eg:select people from user where id=12
12是从表单获取的,但是如果表单种填的不是12
而是 12;show database;
那么最终的传给jdbc的sql语句是
select people from user where id=12;show database; //就会暴露数据库表名
获得表名继续利用sql注入,表单中填 12;select * from [表名]
select people from user where id=12;select * from [表名];//就会暴露所有信息
这是利用了对输入数据检测不严格的问题:
所以解决方式有两种:
- 1、对输入的数据进行校验(不推荐)
魔高一尺道高一丈,只能解决部分问题,万一程序员疏漏,又会出问题
- 2、对jdbc进行优化(十分推荐)
jdbc三步骤:
1> 加载驱动
2> 创建连接
3> 创建陈述对象编译sql
4> 执行获取数据
要避免sql注入,很明显,sql第3步开始参与,所以只能从第3步做文章:
就是将输入的数据和sql查询拆开
eg:select people from user where id=12
先利用陈述对象编译select people from user where id=?
再将12传给编译好的语句,这样,不管你输入的是什么数据都不会影响jdbc的执行,就能从根本上杜绝sql注入了
eg:
String sql = "select people from user where id=?"; //执行sql前会预编译号该条语句
PreparedStatement s = conn.prepareStatement(sql);
s.setString(12, id); //表单输入的数据就不会参与编译过程了
ResultSet rs=pstmt.executeUpdate();