首页 / 缓存 / SQL攻击-预编译--缓存

SQL攻击-预编译--缓存

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了SQL攻击-预编译--缓存，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含4680字，纯文字阅读大概需要7分钟。

内容图文

Statement接口的子接口；

l 强大之处：

  • 防SQL攻击；
  • 提高代码的可读性、可维护性；
  • 提高效率！

l 学习PreparedStatement的用法：

  • 如何得到PreparedStatement对象：

¨ 给出SQL模板！

¨ 调用Connection的PreparedStatement prepareStatement(String sql模板)；

¨ 调用pstmt的setXxx()系列方法sql模板中的?赋值！

¨ 调用pstmt的executeUpdate()或executeQuery()，但它的方法都没有参数。

l 预处理的原理

  • 服务器的工作：

¨ 校验sql语句的语法！

¨ 编译：一个与函数相似的东西！

¨ 执行：调用函数

  • PreparedStatement：

¨ 前提：连接的数据库必须支持预处理！几乎没有不支持的！

¨ 每个pstmt都与一个sql模板绑定在一起，先把sql模板给数据库，数据库先进行校验，再进行编译。执行时只是把参数传递过去而已！

¨ 若二次执行时，就不用再次校验语法，也不用再次编译！直接执行！

 1　什么是SQL攻击

在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！例如用户在登录时输入的用户名和密码都是为SQL语句的片段！

2　演示SQL攻击

首先我们需要创建一张用户表，用来存储用户的信息。

CREATE TABLE user(

uidCHAR(32) PRIMARY KEY,

usernameVARCHAR(30) UNIQUE KEY NOT NULL,

PASSWORD VARCHAR(30)

);

INSERT INTO user VALUES(‘U_1001‘, ‘zs‘, ‘zs‘);

SELECT * FROM user;

现在用户表中只有一行记录，就是zs。

下面我们写一个login()方法！

public void login(String username, String password) {

Connection con = null;

Statement stmt = null;

ResultSet rs = null;

try {

con = JdbcUtils.getConnection();

stmt = con.createStatement();

String sql = "SELECT * FROM user WHERE " +

"username=‘" + username +

"‘ and password=‘" + password + "‘";

rs = stmt.executeQuery(sql);

if(rs.next()) {

System.out.println("欢迎" + rs.getString("username"));

} else {

System.out.println("用户名或密码错误！");

}

} catch (Exception e) {

throw new RuntimeException(e);

} finally {

JdbcUtils.close(con, stmt, rs);

}

}

 

下面是调用这个方法的代码：

login("a‘ or ‘a‘=‘a", "a‘ or ‘a‘=‘a");

 

这行当前会使我们登录成功！因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！我们来看看组合在一起的SQL语句：

SELECT * FROM tab_user WHERE username=‘a‘ or ‘a‘=‘a‘ and password=‘a‘ or ‘a‘=‘a‘

 3　防止SQL攻击

l 过滤用户输入的数据中是否包含非法字符；

l 分步交验！先使用用户名来查询用户，如果查找到了，再比较密码；

l 使用PreparedStatement。 

4　PreparedStatement是什么？

PreparedStatement叫预编译声明！

PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。

PreparedStatement的好处：

l 防止SQL攻击；

l 提高代码的可读性，以可维护性；

l 提高效率。

5　PreparedStatement的使用

l 使用Connection的prepareStatement(String sql)：即创建它时就让它与一条SQL模板绑定；

l 调用PreparedStatement的setXXX()系列方法为问号设置值

l 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；

 

String sql = “select * from tab_student where s_number=?”;

PreparedStatement pstmt = con.prepareStatement(sql);

pstmt.setString(1, “S_1001”);

ResultSet rs = pstmt.executeQuery();

rs.close();

pstmt.clearParameters();

pstmt.setString(1, “S_1002”);

rs = pstmt.executeQuery();

在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。

在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。

注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。

PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。 

所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。

 

useServerPrepStmts参数

 

默认使用PreparedStatement是不能执行预编译的，这需要在url中给出useServerPrepStmts=true参数（MySQL Server 4.1之前的版本是不支持预编译的，而Connector/J在5.0.5以后的版本，默认是没有开启预编译功能的）。

 

例如：jdbc:mysql://localhost:3306/test?useServerPrepStmts=true

 

　　这样才能保证mysql驱动会先把SQL语句发送给服务器进行预编译，然后在执行executeQuery()时只是把参数发送给服务器。

 

cachePrepStmts参数

 

当使用不同的PreparedStatement对象来执行相同的SQL语句时，还是会出现编译两次的现象，这是因为驱动没有缓存编译后的函数key，导致二次编译。如果希望缓存编译后函数的key，那么就要设置cachePrepStmts参数为true。例如：

 

jdbc:mysql://localhost:3306/test?useServerPrepStmts=true&cachePrepStmts=true

 

SQL攻击-预编译--缓存

标签：数据库   可维护性   number   dao   span   用户   cut   mysql   new   

本文系统来源：http://www.cnblogs.com/rogge7/p/7002592.html

内容总结

以上是互联网集市为您收集整理的SQL攻击-预编译--缓存全部内容，希望文章能够帮你解决SQL攻击-预编译--缓存所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/484175.html

来源：【匿名】