定制设计【JAVA高级】——吃透JDBC中的SQL注入问题和解决方案

 ✅作者简介：定制设计热爱国学的Java定制设计后端开发者，定制设计修心和技术同步精进。

🍎个人主页：

🍊个人信条：不迁怒，不贰过。小知识，大智慧。

💞当前专栏：

✨特色专栏：

🥭本文内容：【JAVA高级】——吃透JDBC定制设计中的问题和解决方案

定制设计更多内容点击👇

                       

本文目录

💖SQL注入

✨什么是SQL注入

        定制设计在用户输入的数据中有SQL定制设计关键字或语法，定制设计并且关键字或语法参与了SQL定制设计语句的编译。导致SQL定制设计语句编译后的条件为true，定制设计一直得到正确的结果。定制设计这种现象就是SQL注入。

✨SQL定制设计注入的效果的演示

💫SQL注入代码

  1. package cn.bdqn.demo03;
  2. ​
  3. import java.sql.Connection;
  4. import java.sql.DriverManager;
  5. import java.sql.ResultSet;
  6. import java.sql.SQLException;
  7. import java.sql.Statement;
  8. import java.util.Scanner;
  9. ​
  10. public class Login {
  11. ​
  12.     public static void main(String[] args) throws ClassNotFoundException, SQLException {
  13.         
  14.         //创建Scanner类对象，定制设计从控制台获取用户名和密码数据
  15.         Scanner sc = new Scanner(System.in);
  16.         System.out.println("请输入用户名：");
  17.         String user = sc.nextLine();//使用nextLine()方法获取字符串
  18.         System.out.println("请输入密码：");
  19.         String pwd = sc.nextLine();//使用nextLine()方法获取字符串
  20.         
  21.         //1、注册驱动
  22.         Class.forName("com.mysql.jdbc.Driver");
  23.         //2、获取连接对象
  24.         String url = "jdbc:mysql://127.0.0.1:3306/java221804";
  25.         String dbuser = "root";
  26.         String pssword = "123456";
  27.         Connection connection = DriverManager.getConnection(url, dbuser, pssword);
  28.         //3、获取发送SQL语句的对象
  29.         Statement statement =connection.createStatement();
  30.         //编写SQL语句
  31.         String sql = "SELECT * FROM user WHERE username='"+user+"' AND pssword = '"+pwd+"';";
  32.         //4、执行SQL语句
  33.         ResultSet resultSet=statement.executeQuery(sql);
  34.         if(resultSet.next()){
  35.             System.out.println("用户名和密码正确，登录成功");
  36.         }else{
  37.             System.out.println("用户名或密码不正确，登录失败");
  38.         }
  39.         //6、关闭资源
  40.         resultSet.close();
  41.         statement.close();
  42.         connection.close();
  43.         sc.close();
  44.     }
  45. }

💫SQL注入效果

输入错误的用户名和密码，提示登录失败：

 输入错误的用户名和密码，提示登录成功：产生了SQL注入

        上面案例代码中，当你的用户名为 abc' or 1=1;# 密码为123，拼接到SQL语句中，变成如下效果：

        SELECT * FROM user WHERE username='abc' or 1=1;#' AND pssword = '123';

        此SQL语句or 后面1=1永远正确，#后面的成了注释，所以这条语句会将表中所有的数据查询出来，然后再做数据判断的时候，就会得到正确结果，从而说用户名和密码正确，登录成功。

✨如何避免SQL注入

        使用PreparedStatement代替Statement可以有效防止SQL注入的发生。由于SQL注入产生的原因是在用户输入数据对SQL整合，整合后再发送到数据库进行编译产生的。

        所以为了避免SQL注入，就需要SQL语句在用户输入数据前就进行编译，成为完整的SQL语句，编译完成后再进行数据填充。这个操作需要使用PrepareStatement实现。

        PreparedStatement利用预编译的机制将sql语句的主干和参数分别传输给数据库服务器，从而使数据库分辨的出哪些是sql语句的主干哪些是参数，这样一来即使参数中带了sql的关键字，数据库服务器也仅仅将他当作参数值使用，关键字不会起作用，从而从原理上防止了sql注入的问题。

💖PrepareStatement解决SQL注入

        PreparedStatement接口继承了Statement接口，执行SQL语句的方法与Statement执行SQL语句的方法相同。

✨PreparedStatement的应用

PreparedStatement的作用：

  • 预编译SQL语句，效率高

  • 安全，避免SQL注入

  • 可以动态的填充数据，执行多个同结构的SQL语句

💫参数标记

        //预编译SQL语句，SQL中的所有参数由？符号占位，这被称为参数标记。在执行SQL语句之前，必须为每个参数提供值。

        String sql = "select * from user where userName = ? and pssword=?;";

        PreparedStatement preparedStatement = connection.prepareStatement(sql);

💫动态参数绑定

        preparedStatement.sexXxx(下标，值)：参数下标从1开始，为指定参数下标绑定值。Xxx表示数据类型。

        //绑定参数，有多少个?绑定多少个参数值

        preparedStatement.setString(1, userName);

        preparedStatement.setString(2, pwd);

✨综合案例

  1. package cn.bdqn.demo02;
  2. ​
  3. import java.sql.Connection;
  4. import java.sql.DriverManager;
  5. import java.sql.PreparedStatement;
  6. import java.sql.ResultSet;
  7. import java.sql.SQLException;
  8. import java.util.Scanner;
  9. ​
  10. public class PreparedStatementDemo01 {
  11. ​
  12.     public static void main(String[] args) throws ClassNotFoundException,SQLException {
  13. ​
  14.         Scanner sc = new Scanner(System.in);
  15.         System.out.println("请输入用户名：");
  16.         String userName = sc.nextLine();
  17.         System.out.println("请输入密码：");
  18.         String pwd = sc.nextLine();
  19. ​
  20.         // 1、注册驱动
  21.         Class.forName("com.mysql.jdbc.Driver");
  22.         // 2、获得连接
  23.         String url = "jdbc:mysql://localhost:3306/java2217";
  24.         String user = "root";
  25.         String pssword = "123456";
  26.         Connection connection = DriverManager.getConnection(url, user, pssword);
  27.         // 3、获取发送SQL对象
  28.         String sql = "select * from user where userName = ? and pssword=?;";
  29.         PreparedStatement preparedStatement = connection.prepareStatement(sql);
  30.         // 4、绑定参数，有多少个?绑定多少个参数值
  31.         preparedStatement.setString(1, userName);
  32.         preparedStatement.setString(2, pwd);
  33.         // 5、执行SQL语句，并处理结果
  34.         ResultSet resultSet = preparedStatement.executeQuery();
  35.         if (resultSet.next()) {
  36.             System.out.println("用户名和密码正确，登录成功");
  37.         } else {
  38.             System.out.println("用户名或密码错误，登录失败");
  39.         }
  40.         // 6、释放资源:与关闭流的方式一样，先开的后关，后开的先关
  41.         resultSet.close();
  42.         preparedStatement.close();
  43.         connection.close();
  44.         sc.close();
  45.     }
  46. }

✨PreparedStatement总结

PreparedStatement主要有如下的三个优点：

        可以防止sql注入
        由于使用了预编译机制,执行的效率要高于Statement
        sql语句使用?形式替代参数,然后再用方法设置?的值,比起拼接字符串,代码更加优雅.

PreparedStatement 与Statment比较：

        语法不同：PreparedStatement可以使用预编译的sql，而Statment只能使用静态的sql
        效率不同： PreparedStatement可以使用sql缓存区，效率比Statment高
        安全性不同： PreparedStatement可以有效防止sql注入，而Statment不能防止sql注入。

💖必须使用Statement的情况

        当sql语句中必须用到字符串拼接时，则必须使用Statement

  1. public static void main(String[] args) {
  2.         Scanner s = new Scanner(System.in);
  3.         System.out.print("升序输入asc，降序输入desc：");
  4.         String order = s.nextLine();
  5.         // 定义变量
  6.         Connection connection = null;
  7.         Statement statement = null;
  8.         ResultSet rs = null;
  9.  
  10.  
  11.         try {
  12.             // 注册驱动
  13.             Class.forName("com.mysql.cj.jdbc.Driver");
  14.             // 获取连接
  15.             connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/MyTest","root", "********");
  16.             // 获取数据库操作对象
  17.             statement = connection.createStatement();
  18.             // 执行sql
  19.             String sql = "select * from emp order by sal " + order;
  20.             rs = statement.executeQuery(sql);
  21.             // 处理查询结果集
  22.             while(rs.next()){
  23.                 String ename = rs.getString("ename");
  24.                 double sal = rs.getDouble("sal");
  25.                 System.out.println("姓名：" + ename + ",薪资：" + sal);
  26.             }
  27.         } catch (ClassNotFoundException | SQLException e) {
  28.             e.printStackTrace();
  29.         } finally {
  30.             // 释放资源
  31.             if (rs != null) {
  32.                 try {
  33.                     rs.close();
  34.                 } catch (SQLException e) {
  35.                     e.printStackTrace();
  36.                 }
  37.             }
  38.             if (statement != null) {
  39.                 try {
  40.                     statement.close();
  41.                 } catch (SQLException e) {
  42.                     e.printStackTrace();
  43.                 }
  44.             }
  45.             if (connection != null) {
  46.                 try {
  47.                     connection.close();
  48.                 } catch (SQLException e) {
  49.                     e.printStackTrace();
  50.                 }
  51.             }
  52.         }
  53.     }

💖投票传送门（欢迎伙伴们投票）

网站建设定制开发 软件系统开发定制 定制软件开发 软件开发定制 定制app开发 app开发定制 app开发定制公司 电商商城定制开发 定制小程序开发 定制开发小程序 客户管理系统开发定制 定制网站 定制开发 crm开发定制 开发公司 小程序开发定制 定制软件 收款定制开发 企业网站定制开发 定制化开发 android系统定制开发 定制小程序开发费用 定制设计 专注app软件定制开发 软件开发定制定制 知名网站建设定制 软件定制开发供应商 应用系统定制开发 软件系统定制开发 企业管理系统定制开发 系统定制开发