转载请注明出处&＃xff1a;http://blog.csdn.net/linglongxin24/article/details/53769810
本文出自【DylanAndroid的博客】

#JDBC如何有效防止SQL注入

在我们平时的开发中&＃xff0c;作为新手写JDBC很有可能忽略了一点&＃xff0c;那就是根本没有考虑SQL注入的问题&＃xff0c;
那么&＃xff0c;什么是SQL注入&＃xff0c;以及如何防止SQL注入的问题。

一什么是SQL注入

所谓SQL注入&＃xff0c;就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串&＃xff0c;最终达到欺骗服务器执行恶意的SQL命令。具体来说&＃xff0c;它是利用现有应用程序&＃xff0c;将&＃xff08;恶意&＃xff09;的SQL命令注入到后台数据库引擎执行的能力&＃xff0c;它可以通过在Web表单中输入&＃xff08;恶意&＃xff09;SQL语句得到一个存在安全漏洞的网站上的数据库&＃xff0c;而不是按照设计者意图去执行SQL语句。[1] 比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的&＃xff0c;这类表单特别容易受到SQL注入式攻击&＃xff0e;

二.先看一下数据表中的数据

1. 查询代码&＃xff1a;

/**数据库表名**/String tableName &＃61; "emp_test";/**先查看一下数据库当中的表数据**/DBUtil.query(tableName, null);

2. 查询结果&＃xff1a;

SELECT * FROM emp_test成功查询到了14行数据第1行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1001, SALARY&＃61;10000, HIRE_DATE&＃61;2010-01-12, PASSWORD&＃61;123456, BONUS&＃61;2000, MANAGER&＃61;1005, JOB&＃61;Manager, NAME&＃61;张无忌}第2行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1002, SALARY&＃61;8000, HIRE_DATE&＃61;2011-01-12, PASSWORD&＃61;123456, BONUS&＃61;1000, MANAGER&＃61;1001, JOB&＃61;Analyst, NAME&＃61;刘苍松}第3行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1003, SALARY&＃61;9000, HIRE_DATE&＃61;2010-02-11, PASSWORD&＃61;123456, BONUS&＃61;1000, MANAGER&＃61;1001, JOB&＃61;Analyst, NAME&＃61;李翊}第4行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1004, SALARY&＃61;5000, HIRE_DATE&＃61;2010-02-11, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;1001, JOB&＃61;Programmer, NAME&＃61;郭芙蓉}第5行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1005, SALARY&＃61;15000, HIRE_DATE&＃61;2008-02-15, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;President, NAME&＃61;张三丰}第6行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1006, SALARY&＃61;5000, HIRE_DATE&＃61;2009-02-01, PASSWORD&＃61;123456, BONUS&＃61;400, MANAGER&＃61;1005, JOB&＃61;Manager, NAME&＃61;燕小六}第7行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1007, SALARY&＃61;3000, HIRE_DATE&＃61;2009-02-01, PASSWORD&＃61;123456, BONUS&＃61;500, MANAGER&＃61;1006, JOB&＃61;clerk, NAME&＃61;陆无双}第8行&＃xff1a;{DEPT_TEST_ID&＃61;30, EMP_ID&＃61;1008, SALARY&＃61;5000, HIRE_DATE&＃61;2009-05-01, PASSWORD&＃61;123456, BONUS&＃61;500, MANAGER&＃61;1005, JOB&＃61;Manager, NAME&＃61;黄蓉}第9行&＃xff1a;{DEPT_TEST_ID&＃61;30, EMP_ID&＃61;1009, SALARY&＃61;4000, HIRE_DATE&＃61;2009-02-20, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;1008, JOB&＃61;salesman, NAME&＃61;韦小宝}第10行&＃xff1a;{DEPT_TEST_ID&＃61;30, EMP_ID&＃61;1010, SALARY&＃61;4500, HIRE_DATE&＃61;2009-05-10, PASSWORD&＃61;123456, BONUS&＃61;500, MANAGER&＃61;1008, JOB&＃61;salesman, NAME&＃61;郭靖}第11行&＃xff1a;{DEPT_TEST_ID&＃61;null, EMP_ID&＃61;1011, SALARY&＃61;null, HIRE_DATE&＃61;null, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;于泽成}第12行&＃xff1a;{DEPT_TEST_ID&＃61;null, EMP_ID&＃61;1012, SALARY&＃61;null, HIRE_DATE&＃61;2011-08-10, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;amy}第13行&＃xff1a;{DEPT_TEST_ID&＃61;null, EMP_ID&＃61;1014, SALARY&＃61;8000, HIRE_DATE&＃61;null, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;张无忌}第14行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1015, SALARY&＃61;null, HIRE_DATE&＃61;null, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;刘苍松}三.模拟登录&＃xff0c;演示SQL注入

1. 模拟登录伪代码

/**用户输入的用户名**/String name &＃61; "&＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39;";/**用户输入的密码**/String password &＃61; "&＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39;";/**我们拼SQL语句去查询**/String sql &＃61; "SELECT * FROM emp_test WHERE name &＃61; " &＃43; name &＃43; " and password &＃61; " &＃43; password;DBUtil.query(sql);

2. 查询结果

SELECT * FROM emp_test WHERE name &＃61; &＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39; and password &＃61; &＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39;成功查询到了14行数据第1行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1001, SALARY&＃61;10000, HIRE_DATE&＃61;2010-01-12, PASSWORD&＃61;123456, BONUS&＃61;2000, MANAGER&＃61;1005, JOB&＃61;Manager, NAME&＃61;张无忌}第2行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1002, SALARY&＃61;8000, HIRE_DATE&＃61;2011-01-12, PASSWORD&＃61;123456, BONUS&＃61;1000, MANAGER&＃61;1001, JOB&＃61;Analyst, NAME&＃61;刘苍松}第3行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1003, SALARY&＃61;9000, HIRE_DATE&＃61;2010-02-11, PASSWORD&＃61;123456, BONUS&＃61;1000, MANAGER&＃61;1001, JOB&＃61;Analyst, NAME&＃61;李翊}第4行&＃xff1a;{DEPT_TEST_ID&＃61;10, EMP_ID&＃61;1004, SALARY&＃61;5000, HIRE_DATE&＃61;2010-02-11, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;1001, JOB&＃61;Programmer, NAME&＃61;郭芙蓉}第5行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1005, SALARY&＃61;15000, HIRE_DATE&＃61;2008-02-15, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;President, NAME&＃61;张三丰}第6行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1006, SALARY&＃61;5000, HIRE_DATE&＃61;2009-02-01, PASSWORD&＃61;123456, BONUS&＃61;400, MANAGER&＃61;1005, JOB&＃61;Manager, NAME&＃61;燕小六}第7行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1007, SALARY&＃61;3000, HIRE_DATE&＃61;2009-02-01, PASSWORD&＃61;123456, BONUS&＃61;500, MANAGER&＃61;1006, JOB&＃61;clerk, NAME&＃61;陆无双}第8行&＃xff1a;{DEPT_TEST_ID&＃61;30, EMP_ID&＃61;1008, SALARY&＃61;5000, HIRE_DATE&＃61;2009-05-01, PASSWORD&＃61;123456, BONUS&＃61;500, MANAGER&＃61;1005, JOB&＃61;Manager, NAME&＃61;黄蓉}第9行&＃xff1a;{DEPT_TEST_ID&＃61;30, EMP_ID&＃61;1009, SALARY&＃61;4000, HIRE_DATE&＃61;2009-02-20, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;1008, JOB&＃61;salesman, NAME&＃61;韦小宝}第10行&＃xff1a;{DEPT_TEST_ID&＃61;30, EMP_ID&＃61;1010, SALARY&＃61;4500, HIRE_DATE&＃61;2009-05-10, PASSWORD&＃61;123456, BONUS&＃61;500, MANAGER&＃61;1008, JOB&＃61;salesman, NAME&＃61;郭靖}第11行&＃xff1a;{DEPT_TEST_ID&＃61;null, EMP_ID&＃61;1011, SALARY&＃61;null, HIRE_DATE&＃61;null, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;于泽成}第12行&＃xff1a;{DEPT_TEST_ID&＃61;null, EMP_ID&＃61;1012, SALARY&＃61;null, HIRE_DATE&＃61;2011-08-10, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;amy}第13行&＃xff1a;{DEPT_TEST_ID&＃61;null, EMP_ID&＃61;1014, SALARY&＃61;8000, HIRE_DATE&＃61;null, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;张无忌}第14行&＃xff1a;{DEPT_TEST_ID&＃61;20, EMP_ID&＃61;1015, SALARY&＃61;null, HIRE_DATE&＃61;null, PASSWORD&＃61;123456, BONUS&＃61;null, MANAGER&＃61;null, JOB&＃61;null, NAME&＃61;刘苍松}

通过上面的操作我们发现&＃xff0c;这根本就不是我们想要的结果&＃xff0c;这样的话&＃xff0c;随便一个人都能够登录成功了&＃xff0c;那么如何去避免这种事情呢&＃xff1f;

四.模拟登录&＃xff0c;防止SQL注入

1. 模拟登录伪代码

/**用户输入的用户名**/String name &＃61; "&＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39;";/**用户输入的密码**/String password &＃61; "&＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39;";/**我们用参数绑定去查询**/String where &＃61; "name &＃61; ? AND password &＃61; ? ";String[] whereArgs &＃61; new String[]{name, password};DBUtil.query("emp_test", where, whereArgs);

2. 查询结果

/**这条语句只是为了方便调试自己代印的语句&＃xff0c;并不是PreparedStatement真正执行的SQL语句**/SELECT * FROM emp_test WHERE name &＃61; &＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39; AND password &＃61; &＃39;1&＃39; OR &＃39;1&＃39;&＃61;&＃39;1&＃39;成功查询到了0行数据