sql注入

1、sql注入讲解：

statement存在sql注入问题

数据库数据：

模仿用户登录过程代码如下：

package xia.qingtang;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.Statement;
import java.util.Scanner;

public class UserLogin {

    public static void main(String[] args) {
        Scanner input =new Scanner(System.in);
        System.out.println("请输入用户名:");
        String userName=input.nextLine();
        System.out.println("请输入密码:");
        String password=input.nextLine();
        Connection conn = null;
        Statement st = null;
        ResultSet rs = null;
        Users u=null;
        try {
            conn=Dbutils.getConnection();
            st=conn.createStatement();
            String sql="select * from users t where t.`NAME`='"+userName+"' and t.password='"+password+"'";
            System.out.println(sql);
            rs=st.executeQuery(sql);
            while(rs.next()){
                u=new Users();
                u.setAge(rs.getInt("age"));
                u.setId(rs.getInt("id"));
                u.setName(rs.getString("name"));
                u.setPassword(rs.getString("password"));
            }
            if(u!=null){
                System.out.println("此用户可以登录!");    
            }else{
                System.out.println("无此用户，不能登录");
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            Dbutils.closeAll(rs, st, conn);
        }

    }

}

工具类dbutils.java

package xia.qingtang;

import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.io.IOException;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
import java.util.Properties;
import java.util.ResourceBundle;

public class Dbutils {
    private static String driverName;
    private static String url;
    private static String user;
    private static String password;
    static{
        /**
         * 加载properties文件方法一
         */
        ResourceBundle rb=ResourceBundle.getBundle("dbInfo");
        driverName=rb.getString("driverName");
        url=rb.getString("url");
        user=rb.getString("user");
        password=rb.getString("password");
        
        /**
         * 加载properties文件方法二
         */
//        Properties p=new Properties();
//        try {
//            p.load(new FileInputStream("src/dbInfo.properties"));
//            driverName=p.getProperty("driverName");
//            url=p.getProperty("url");
//            user=p.getProperty("user");
//            password=p.getProperty("password");
//        } catch (FileNotFoundException e1) {
//            e1.printStackTrace();
//        } catch (IOException e1) {
//            e1.printStackTrace();
//        }
        try {
            Class.forName(driverName);
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        }
    }
    
    public static Connection getConnection() throws Exception{
        Connection conn=DriverManager.getConnection(url, user, password);
        return conn;
    }
    
    
    public static void closeAll(ResultSet rs,Statement st,Connection conn){
        if(rs!=null){
            try {
                rs.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }    
        }
        rs=null;
        if(st!=null){
            try {
                st.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
            
        }
        st=null;
        if(conn!=null){
            try {
                conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
            
        }
        conn=null;
    }
}

配置文件dbInfo.properties：

driverName=com.mysql.jdbc.Driver
url=jdbc:mysql://localhost:3306/mybatis
##jdbc:mysql:///mybatis
user=root
password=123456

目录结果：

执行UserLogin.java文件

结果执行后：正常情况下数据库无此用户，无法登陆，结果出现了可以登录的情况，这就是sql注入。

SQL注入问题：preparedStatement

preparedStatement：预编译对象， 是Statement对象的子类。

特点：

性能要高

会把sql语句先编译

sql语句中的参数会发生变化，过滤掉用户输入的关键字。

结果显示：