在JDBC中使用PreparedStatement对象防止sql注入

在JDBC中，可以得知账号名并在账号名加入如“#”，“-- ”，’or ‘1=1，进行拼接，改变sql语句的语义，使不需要密码也可以登录。

JDBC前两步不变

1、注册数据库驱动

2、获取数据库连接

3、获取传输器是将sql语句中的参数改为可变参数（？）

例如

String sql = "select * from user where username=? and password=?";
PreparedStatement ps = conn.prepareStatement( sql ); 

//将Sql与语句中的参数值发送给服务器

ps.setString( 1 , user );
ps.setString( 2 , psw ); 

4、执行Sql语句

ResultSet rs = ps.executeQuery(); //这里不要再传SQL,因为 上面已经传过了

5、处理结果

boolean hasUser = rs.next(); 

6、释放资源

rs.close();    
ps.close();    
conn.close();    
return hasUser; //返回处理结果