java防sql注入代码 js防sql注入代码

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

关于在java中使用sql代码

mport java.sql.Connection;

import java.sql.DriverManager;

import java.sql.PreparedStatement;

import java.sql.ResultSet;

public class ConnDB

{

public static void main(String[] args)

{

try

{

//java防sql注入代码我这里用mysql数据库

Class.forName("com.mysql.jdbc.Driver");

String url = "jdbc:mysql://localhost:3306/mytest";

Connection conn = DriverManager.getConnection(url, "root", "123");

String sql = "select * from user limit ?,?";//这里没有括号

PreparedStatement ps = conn.prepareStatement(sql);

ps.setInt(1, 1);//为问号赋值

ps.setInt(2, 3);

ResultSet rs = ps.executeQuery();

while(rs.next())

{

System.out.println(rs.getString(2));

}

rs.close();

ps.close();

conn.close();

}

catch (Exception e)

{

e.printStackTrace();

}

希望对java防sql注入代码你有帮助

相关问答

Q1: java中preparedstatement为什么可以防止sql注入

其实是预编译功能，用preparedstatement就会把sql的结构给数据库预编译。

SQL注入攻击是利用是指利用设计上的漏洞，在目标服务器上运行 Sql语句以及进行其他方式的攻击，

动态生成 Sql语句时没有对用户输入的数据进行验证是 Sql注入攻击得逞的主要原因。

对于 JDBC而言， SQL注入攻击只对 Statement有效，对 PreparedStatement 是无效的，这是因为 PreparedStatement 不允许在不同的插入时间改变查询的逻辑结构。

如验证用户是否存在的 SQL语句为：

select count(*) from usertable where name='用户名 ' and pswd='密码 '

如果在用户名字段中输入 ' or '1'='1' or '1'='1

或是在密码字段中输入 1' or '1'='1

将绕过验证，但这种手段只对只对 Statement有效，对 PreparedStatement 无效。

PreparedStatement 相对 Statement有以下优点：

1.防注入攻击

2.多次运行速度快

3.防止数据库缓冲区溢出

4.代码的可读性可维护性好

加油！

Q2: 什么是sql注入如何防止sql注入

SQL注入是一种非常常见的数据库攻击手段，同时也是网络世界中最普遍的漏洞之一，简单理解就是恶意用户通过在表单中填写包含SQL关键字的数据来使数据库执行非常规代码的过程。

问题来源是，SQL数据库的操作是通过SQL语句来执行的，而无论是执行代码还是数据项都必须写在SQL语句中，也就导致如果我们在数据项中加入了某些SQL语句关键字，比如SELECT、DROP等，这些关键字就很有可能在数据库写入或读取数据时得到执行。

解决方案

方案一：

采用预编译技术

使用预编译的SQL语句，SQL语句的语义不会是不会发生改变的。预编译语句在创建的时候就已经将指定的SQL语句发送给了DBMS，完成了解析，检查，编译等工作，所以攻击者无法改变SQL语句的结构，只是把值赋给?，然后将?这个变量传给SQL语句。当然还有一些通过预编译绕过某些安全防护的操作，大家感兴趣可以去搜索一下。

方案二：

严格控制数据类型

在java、c等强类型语言中一般是不存在数字型注入的，因为在接受到用户输入id时，代码一般会做一个int id 的数据类型转换，假如我们输入的是字符串的话，那么这种情况下，程序就会报错。但是在PHP、ASP这些没有强调处理数据类型的语言，一般我们看到的接收id的代码都是如下等代码。

方案三：

对特殊的字符进行转义

数字型注入可以通过检查数据类型防止，但是字符型不可以，那么怎么办呢，最好的办法就是对特殊的字符进行转义了。比如在MySQL中我们可以对" '

"进行转义，这样就防止了一些恶意攻击者来闭合语句。当然我们也可以通过一些安全函数来转义特殊字符。如addslashes()等，但是这些函数并非一劳永逸，攻击者还可以通过一些特殊的方式绕过。

Q3: java防止sql注入有哪些方法?

前台java防sql注入代码我们可以通过过滤用户输入java防sql注入代码，后台可以通过PreparedStatement来代替Statement来执行SQL语句。

Q4: java拼接sql怎么防止注入

使用Hibernate框架的SQL注入防范 Hibernate是目前使用最多的ORM框架，在Java Web开发中，很多时候不直接使用JDBC，而使用Hibernate来提高开发效率。

在Hibernate中，仍然不应该通过拼接HQL的方式，而应使用参数化的方式来防范SQL注入。有两种方式，一种仍然是使用JDBC一样的占位符“?”，但更好的方式是使用Hibernate的命名参数，例如检测用户名和密码是否正确，使用Hibernate可以写成：