sql注入

百度百科定义：

SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。 

先看测试代码：

数据库：

db.properties程序

driver=com.mysql.jdbc.Driver
url=jdbc:mysql://localhost:3306/jdbcstudy?useUnicode=true&characterEncoding=utf8&useSSL=false
username=root
password=123456

JdbcUtils.java

public class JdbcUtils {
    private static String driver = null;
    private static String url = null;
    private static String username = null;
    private static String password = null;
    static {
        try {
            InputStream in = JdbcUtils.class.getClassLoader().getResourceAsStream("db.properties");
            Properties properties = new Properties();
            properties.load(in);

            driver = properties.getProperty("driver");
            url = properties.getProperty("url");
            username = properties.getProperty("username");
            password = properties.getProperty("password");

            // 驱动只用加载一次
            Class.forName(driver);


        } catch (Exception e) {
            e.printStackTrace();
        }
    }

    // 获取连接
    public static Connection getConnection() throws SQLException {
        return DriverManager.getConnection(url, username, password);
    }

    // 释放资源
    public static void release(Connection con, Statement st, ResultSet rs) throws SQLException {
        if (rs != null) {
            rs.close();
        }
        if (st != null) {
            st.close();
        }
        if (con != null) {
            con.close();
        }
    }


}

sql注入.java

public class SQL注入 {
    public static void main(String[] args) throws SQLException {

       // login("zhangsan", "123456"); // 正常登录
        login("'or ' 1 = 1","123456");
    }

    // 登录业务
    public static void login(String username, String password) throws SQLException {

        Connection conn = null;
        Statement st = null;
        ResultSet rs = null;
        try {
            conn = JdbcUtils.getConnection();
            st = conn.createStatement();
            // SQL
            String sql = "select * from users where `name` = '" + username + "' AND  `password`  = '" + password +"'";
            rs = st.executeQuery(sql); // 查询完毕返回一个结果集
            while(rs.next()) {
                System.out.println(rs.getString("name"));
                System.out.println(rs.getString("password"));
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            JdbcUtils.release(conn, st, rs);
        }
    }
}

结果分析：输入一个逻辑上正确的语句，瞒过系统，取出了数据库所有的信息。

 解决方案：使用PrepareStatement，PrepareStatement和statement的本质区别就是可以防止SQL注入，并且效率更高

public class TestInsert {
    public static void main(String[] args) throws SQLException {
        Connection conn = null;
        PreparedStatement st =  null;
        try {
            conn = JdbcUtils.getConnection();
            // 区别,使用?占位符代替参数
            String sql = "insert into users(id, `name`,`password`,`email`,`birthday`) values(?,?,?,?,?)";
            st = conn.prepareStatement(sql);  // 预编译sql，先写sql但是不执行

            // 手动给参数赋值
            st.setInt(1,4);
            st.setString(2,"cxk");
            st.setString(3,"123432");
            st.setString(4,"355657575@qq.com");
            // 注意点： sql.Date 数据库   java.sql.Date()转化为sql的
            // util.Date  JAVA   new Date().getTime() 获得时间戳
            st.setDate(5,new java.sql.Date(new Date().getTime()));
            // 执行，返回受影响行数
            int i = st.executeUpdate();

            if (i < 0) {
                System.out.println("插入成功");
            }

        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            JdbcUtils.release(conn, st, null);
        }
    }
}