如何拼接SQL语句，以及如何防止SQL注入攻击

我不是女神ヾ 2023-07-01 08:45 4阅读 0赞

在书写SQL语句(或者其他语句)的过程中，有时需要将形参放入准备好的SQL变量中，就需要对语句进行拼接，拼接方法如下，字符串需要整个用双引号包裹，形参需要暴漏在双引号外面，字符串跟形参之间用加号连接。下面对这个SQL语句进行分组分析：  
正常的语句应该是这样:`select * from test(表名) where uname="username" and upassword="password";`  
拼接后的语句是这样：`"select * from test where"+"uname='"+username+"'and upassword='"+password+"'"`  
下面的语句由于整个被双引号包覆，所以变量外的双引号改用单引号

"select * from test where"
     +
     "uname='"
     +
     username
     +
     "'and upassword='"
     +
     password
     +
     "'"

但是这样的代码存在风险，用户可以通过在用户名中输入SQL语句进行SQL注入攻击  
改进前的代码如下

/**
    	 * 用户登录方法
    	 * @param username
    	 * @param password
    	 * @throws ClassNotFoundException
    	 * @throws SQLException
    	 */
    	public void login(String username,String password) throws ClassNotFoundException, SQLException {
    //		1.注册驱动
    		Class.forName("com.mysql.cj.jdbc.Driver");
    //		2.获取链接
    		Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/web08?characterEncoding=utf8&serverTimezone=UTC","root","20190222**");
    //		3.创建执行sql语句的对象
    		Statement  stmt = conn.createStatement();
    //		4.书写一个sql语句 查看数据库中是否有此用户名密码
    		String sql = "select * from test where "+"uname='"+username+"' and upassword='"+password+"'";
    //		5.执行sql语句
    		ResultSet rs = stmt.executeQuery(sql);
    //		6.对结构集进行处理
    		if(rs.next()) {
    			System.out.println("用户"+username+"登陆成功");
    		}else {
    			System.out.println("账号或密码错误!");
    		}
    		if(rs!=null)rs.close();
    		if(stmt!=null)stmt.close();
    		if(conn!=null)conn.close();
    	}

使用预编译可以防止SQL注入攻击  
改进后的代码如下

/**
    	 * 使用Prepare Statement防止SQL注入攻击
    	 * @param username
    	 * @param password
    	 * @throws ClassNotFoundException
    	 * @throws SQLException
    	 */
    	void login1(String username,String password) throws ClassNotFoundException, SQLException {
    //		1.注册驱动
    		Class.forName("com.mysql.cj.jdbc.Driver");
    //		2.获取链接
    		Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/web08?characterEncoding=utf8&serverTimezone=UTC","root","20190222**");
    //		3.编写SQL语句
    		String sql = "select * from test where uname=? and upassword=?";
    //		4.创建预处理对象
    		PreparedStatement pstmt = conn.prepareStatement(sql);
    //		5.执行SQL语句
    		pstmt.setString(1,username);	//1.代替sql中的第一个问号
    		pstmt.setString(2,password);	//2.代替sql中的第二个问号
    		ResultSet rs = pstmt.executeQuery();
    //		6.对结构集进行处理
    		if(rs.next()) {
    			System.out.println("用户"+username+"登陆成功");
    		}else {
    			System.out.println("账号或密码错误!");
    		}
    		if(rs!=null)
    			rs.close();
    		if(pstmt!=null)
    			pstmt.close();
    		if(conn!=null)
    			conn.close();
    	}