解决SQL注入问题

新建一个数据库，再建一个表，添加两行数据：

use db1;create table user(
	id int primary key auto_increment,
	username varchar(32),
	password varchar(32));insert into user values(null,&＃39;zhangsan&＃39;,&＃39;123&＃39;);insert into user values(null,&＃39;lisi&＃39;,&＃39;234&＃39;);

表如下图所示：
再随随便便用JDBC写个登陆操作：

package com.wzq.jdbc;import com.wzq.util.JDBCUtils;import java.sql.Connection;import java.sql.ResultSet;import java.sql.SQLException;import java.sql.Statement;import java.util.Scanner;/*
 *   需求：
 *       1、通过键盘录入用户名和密码
 *       2、判断用户是否登陆成功
 * */public class JDBCDemo05 {

    public static void main(String[] args) {
        Scanner cin = new Scanner(System.in);
        System.out.println("请输入用户名：");
        String username = cin.nextLine();
        System.out.println("请输入密码：");
        String password = cin.nextLine();

        boolean res = new JDBCDemo05().login(username, password);
        if (res) System.out.println("登陆成功！");
        else System.out.println("登陆失败！");

    }

    public boolean login(String username, String password) {
        if (username == null || password == null) {
            return false;
        }
        Connection cOnn= null;
        Statement stmt = null;
        ResultSet rs = null;
        try {
            //1、获取数据库连接
            cOnn= JDBCUtils.getConnection();   //JDBCUtils工具类
            //2、定义sql
            String sql = "select * from user where username = &＃39;" + username + "&＃39; and password = &＃39;" + password + "&＃39;";
            //3、获取执行sql的对象
            stmt = conn.createStatement();
            //4、执行sql
            rs = stmt.executeQuery(sql);
            return rs.next();
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            JDBCUtils.close(rs, stmt, conn);
        }
        return false;
    }}

测试一下：

那怎么解决这个问题呢？

答：利用PreparedStatement对象，不使用Statement对象。

PreparedStatement对象是Statement对象的子类，它是预编译的sql，所以运行速度会比Statemnet更快。

PerpaerdStatement使用?作为占位符，使用setXxx(索引,值)给?赋值

所以我们替换一下Statement，写一下代码：

    public boolean login(String username, String password) {        if (username == null || password == null) {            return false;
        }
        Connection cOnn= null;
        PreparedStatement pstmt = null;
        ResultSet rs = null;
        try {            //1、获取数据库连接
            cOnn= JDBCUtils.getConnection();   //JDBCUtils类
            //2、定义sql
            String sql = "select * from user where username = ? and password = ?";
            //3、获取执行sql的对象
            pstmt = conn.prepareStatement(sql);
            pstmt.setString(1,username);
            pstmt.setString(2,password);
            //4、执行sql
            rs = pstmt.executeQuery();
            return rs.next();
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            JDBCUtils.close(rs, pstmt, conn);
        }        return false;
    }

测试一下：
成功解决！

以上就是解决 SQL 注入问题的详细内容，更多请关注其它相关文章！