什么是SQL注入？带你从零开始认识SQL注入

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了什么是SQL注入？带你从零开始认识SQL注入，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1737字，纯文字阅读大概需要3分钟。

内容图文

SQL注入

1.什么是SQL注入

• 看一下下面的案例场景，这是正常情况下的登陆场景：

• 而当我们使用 用户名‘：– 的时候，密码随便输入也可以登陆成功↓

• 这时候对比两条sql就能发现，其实用户通过在用户名写入的sql符号将内部sql提前结束，并且将后半句检索条件注释起来达到免密码登陆效果。

sql注入就是本来我只有我能操作数据库，本来只是让你输入内容就走，而你却输入命令，从而在我不知情下操作数据库

2.漏洞的修复

• 会产生上门面的情况是因为上面的sql是使用动态拼接的方式，所以sql传入的方式可能改变sql的语义。

动态拼接就是在java中java变量和sql语句混合使用:select * from user where userName=’”+userName+”’ and password = ‘”+password”’

• 所以要使用preparedStatement的参数化sql，通过先确定语义，再传入参数，就不会因为传入的参数改变sql的语义。（通过setInt，setString，setBoolean传入参数）

3.参数化sql使用案例

            //建立数据连接
            conn=ds.getConnection();
            //1.设置prepareStatement带占位符的sql语句
            PreparedStatement ptmt = conn.prepareStatement("select * from user where userName = ? and password = ?");
            ptmt.setString(1, "张三");      //2.设置参数
            ptmt.setString(2, "123456");
            rs=ptmt.executeQuery();     

            while(rs.next()){
                System.out.println("登陆成功");
                return;
            }
            System.out.println("登陆失败");

参数化特点：

1.设置preparedStatement带占位符的sql语句

statement执行sql语句的方式：

stmt=conn.createStatement();
rs=stmt.executeQuery("select userName from user");

2.设置参数

PerparedStatement继承于Statement，这里主要使用的使他参数化sql的特性。

转：

深入了解SQL注入和预防措施

相关视频：

防御sql注入-PHP实战商城开发视频教

以上就是什么是SQL注入？带你从零开始认识SQL注入的详细内容，更多请关注Gxl网其它相关文章！

内容总结

以上是互联网集市为您收集整理的什么是SQL注入？带你从零开始认识SQL注入全部内容，希望文章能够帮你解决什么是SQL注入？带你从零开始认识SQL注入所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端