SQL注入

将jdbc看作一个函数，输入sql，输出数据：
- eg：select people from user where id=12
　　12是从表单获取的，但是如果表单种填的不是12
　　而是 12;show database;
　　那么最终的传给jdbc的sql语句是
　　select people from user where id=12;show database; //就会暴露数据库表名

　　获得表名继续利用sql注入，表单中填 12;select * from [表名]
　　select people from user where id=12;select * from [表名];//就会暴露所有信息

这是利用了对输入数据检测不严格的问题：
所以解决方式有两种：

- 1、对输入的数据进行校验（不推荐）
　　魔高一尺道高一丈，只能解决部分问题，万一程序员疏漏，又会出问题

- 2、对jdbc进行优化（十分推荐）
　　jdbc三步骤：
　　　　1> 加载驱动
　　　　2> 创建连接
　　　　3> 创建陈述对象编译sql
　　　　4> 执行获取数据
　　要避免sql注入，很明显，sql第3步开始参与，所以只能从第3步做文章：
　　就是将输入的数据和sql查询拆开
　　eg:select people from user where id=12
　　先利用陈述对象编译select people from user where id=？
　　再将12传给编译好的语句，这样，不管你输入的是什么数据都不会影响jdbc的执行，就能从根本上杜绝sql注入了

eg:
　　String sql = "select people from user where id=?"; //执行sql前会预编译号该条语句
　　PreparedStatement s = conn.prepareStatement(sql);
　　s.setString(12, id); //表单输入的数据就不会参与编译过程了
　　ResultSet rs=pstmt.executeUpdate();