java程序防代码注入,java防sql注入代码

java防止sql注入有哪些方法?

前台我们可以通过过滤用户输入，后台可以通过PreparedStatement来代替Statement来执行SQL语句。

相关问答

Q1: java web如何防止html，js注入

在java Web体系中，可以写自定义标签，过滤用户输入，也可以写一个filter过滤器。比如说自定义标签。

开发步骤:

1 写一个标签处理类

2  在/WEB-INF/目录下，写一个*.tld文件，目的是让Web容器知道自定义标签和标签处理类的对应关系

3 在JSP页面中，通过%@taglib%指令引用标签库.

4 部署web应用，访问simple.jsp即可

其中，标签处理类可以这样写，转义大于号，小于号等特殊符号。

package cn.itcast.web.jsp.tag;

import java.io.IOException;

import java.io.StringWriter;

import javax.servlet.jsp.JspException;

import javax.servlet.jsp.PageContext;

import javax.servlet.jsp.tagext.JspFragment;

import javax.servlet.jsp.tagext.SimpleTagSupport;

//simple:filter标签处理类

public class FilterTag extends SimpleTagSupport {

public void doTag() throws JspException, IOException {

JspFragment jspFragment = this.getJspBody();

StringWriter writer = new StringWriter();

jspFragment.invoke(writer);

String temp = writer.getBuffer().toString();

//结果必定是转义后的字符串

temp = filter(temp);

PageContext pageContext = (PageContext) this.getJspContext();

pageContext.getOut().write(temp);

}

public String filter(String message) {

        if (message == null)

            return (null);

        char content[] = new char[message.length()];

        message.getChars(0, message.length(), content, 0);

        StringBuffer result = new StringBuffer(content.length + 50);

        for (int i = 0; i  content.length; i++) {

            switch (content[i]) {

            case '':

                result.append("lt;");

                break;

            case '':

                result.append("gt;");

                break;

            case '':

                result.append("amp;");

                break;

            case '"':

                result.append("quot;");

                break;

            default:

                result.append(content[i]);

            }

        }

        return (result.toString());

    }

}

Q2: java程序POSS注入，怎样测试，怎样改代码

由于在构造查询语句的时候，会拼接来自用户输入的数据，如果没有对用户输入数据作适当的过滤，用户就可以构造一些特殊的数据，通过服务器返回的错误信息来获取数据库中的信息，当然包括用户名密码类的敏感数据，甚至直接修改数据。

比如：简单的查询 sql="select * from abc where a='" + x +"'";

构造特殊的x：sql="select * from abc where a='" + "' having '1'='1" +"'"; //由于没有group by 语句而单独使用having ，将会出错，服务器返回错误信息，错误信息中会包括比如字段名称，数据库名称等等一些。获取这些信息后，就可以进一步构造特殊语句获取更多信息。

所以防注入的2个要点就是：过滤和屏蔽错误提示。

Q3: 用java编写防止SQL注入！求java高手指点！问题解决后，一定提高悬赏！

你在init函数中修改了 inj_str的值， 而你在调用这个函数时有没有传FilterConfig config啊。

Q4: web前端怎么防止代码注入攻击

三种方式：

一，HTML防注入。

一般的html注入都是在字符串中加入了html标签，用下JAVA代码可以去掉这部分代码。

代码如下，自己封装成方法即可。

String msge = "asdasdasdasd div id=\"f\"asdfsdf";

System.out.println(msge);

msge = msge.replace("", "");

msge = msge.replace("", "");

msge = msge.replace(" ", " ");

msge = msge.replace("", "");

msge = msge.replace("\"", """);

msge = msge.replace("'", "qpos;");

System.out.println(msge);

二、防SQL注入

最简单最容易的是限制用户输入。

简单点的就是不允许用户输入单引号 和 --，因为单引号号--在SQL中都是影响执行的。

但SQL注入是多方面的，防止的方法也有很多种。

1、地址栏禁止特殊字符防SQL注入

把特殊字符（如and、or、'、"）都禁止提交就可以防止注入了。

2、php过滤html字符串，防止SQL注入

批量过滤post,get敏感数据

$_GET = stripslashes_array($_GET);

$_POST = stripslashes_array($_POST);

数据过滤函数

function stripslashes_array($array) {

while(list($key,$var) = each($array)) {

if ($key != 'argc' $key != 'argv' (strtoupper($key) != $key || ''.intval($key) == "$key")) {

if (is_string($var)) {

$array[$key] = stripslashes($var);

}

if (is_array($var)) {

$array[$key] = stripslashes_array($var);

}

}

}

return $array;

}

3、替换HTML尾标签

function lib_replace_end_tag($str)

{

if (empty($str)) return false;

$str = htmlspecialchars($str);

$str = str_replace( '/', "", $str);

$str = str_replace("\\", "", $str);

$str = str_replace("", "", $str);

$str = str_replace("", "", $str);

$str = str_replace("SCRIPT", "", $str);

$str = str_replace("/SCRIPT", "", $str);

$str = str_replace("script", "", $str);

$str = str_replace("/script", "", $str);

$str=str_replace("select","select",$str);

$str=str_replace("join","join",$str);

$str=str_replace("union","union",$str);

$str=str_replace("where","where",$str);

$str=str_replace("insert","insert",$str);

$str=str_replace("delete","delete",$str);

$str=str_replace("update","update",$str);

$str=str_replace("like","like",$str);

$str=str_replace("drop","drop",$str);

$str=str_replace("create","create",$str);

$str=str_replace("modify","modify",$str);

$str=str_replace("rename","rename",$str);

$str=str_replace("alter","alter",$str);

$str=str_replace("cas","cast",$str);

$str=str_replace("","",$str);

$str=str_replace("","",$str);

$str=str_replace("","",$str);

$str=str_replace(" ",chr(32),$str);

$str=str_replace(" ",chr(9),$str);

$str=str_replace(" ",chr(9),$str);

$str=str_replace("",chr(34),$str);

$str=str_replace("'",chr(39),$str);

$str=str_replace("br /",chr(13),$str);

$str=str_replace("''","'",$str);

$str=str_replace("css","'",$str);

$str=str_replace("CSS","'",$str);

return $str;

}

三、专业的事情交给专业的工具去做。

安装安全软件。例如，在服务器中安装“服务器安全狗”，可以设置防注入，防攻击的设置，只要设置好安全规则，就可以屏蔽大多数攻击入侵。

Q5: java拼接sql怎么防止注入

使用Hibernate框架的SQL注入防范 Hibernate是目前使用最多的ORM框架，在Java Web开发中，很多时候不直接使用JDBC，而使用Hibernate来提高开发效率。

在Hibernate中，仍然不应该通过拼接HQL的方式，而应使用参数化的方式来防范SQL注入。有两种方式，一种仍然是使用JDBC一样的占位符“?”，但更好的方式是使用Hibernate的命名参数，例如检测用户名和密码是否正确，使用Hibernate可以写成：

String queryStr = “from user where username=:username ”+”password=:password”;

List result = session.createQuery(queryStr).setString("username", username).setString("password", password).list();