sql注入问题

拼搏现实的明天。 2023-10-06 14:04 71阅读 0赞

# sql注入问题 #

问题引入：我们让用户输入的密码和SQL语句进行字符串拼接。用户输入的内容作为了SQL语句语法的一部分，改变了原有SQL真正的意义，以上问题称为SQL注入。

Connection conn = JdbcUtil.getConn();
            Statement statement = conn.createStatement();
            String sql = "select * from user where name='" + name + "' and password='" + psw + "'";
            System.out.println("sql = " + sql);
            ResultSet resultSet = statement.executeQuery(sql);
    输入用户名：
    xiao' -- 
     请输入密码：
    kjhjgh
    sql = select * from user where name='xiao' -- ' and password='kjhjgh'
    xiao' -- 登录成功

-- xiao登陆成功
    select count(*) from user where name='xiao' and password='123';
    
    -- Rose登陆成功
    select * from user where name='Rose' and password='456';
    
    /*
    	演示:
    		请输入用户名:(正确的用户名' --空格)
    		xiao' -- 
    		请输入密码:
    		kjhjgh
    		
    		select count(*) from user where name='jack' -- ' and password='kjhjgh'
    		登录成功
    	
    	SQL注入:
    		用户在参数中设置sql语法内容,通过拼接sql的形式改变原来sql的含义 		
    
    */
    -- sql原样: 根据用户名和密码查询数据库
    select count(*) from user where name='?'  and password='?';
    -- 拼接之后: 根据用户名查询数据库(密码内容被注释掉了)
    select count(*) from user where name='jack' -- '  and password='kjhjgh';
    
    
    /*
    	预编译
    		请输入用户名:
    			xiao' -- 
    		请输入密码:
    			kjhjgh
    		
    		sql
    			select count(*) from user where name = ? and password = ?
    */

解决问题：不能使用Statement接口，应该使用它的子接口：PreparedStatement，以后只会使用这个子接口进行编程

String sql = "select * from user where name=? and password=?";
            //1.通过工具类得到连接对象
            Connection conn  = JdbcUtil.getConn();
            PreparedStatement ps = conn.prepareStatement(sql);
            ps.setString(1,name);
            ps.setString(2,psw);
            ResultSet resultSet = ps.executeQuery();
    /*请输入用户名：
    xiao' -- 
    请输入密码：
    kjhjgh
    登录失败*/