PreparedStatement可以实现Statement的所有功能,但是之所以叫它预编译指令,是因为在创建它的一个对象时可以给定具有一定格式的SQL字符串,然后用它的setXXX方法给指定的SQL语句以填空的方式赋值,具有这样的特性后,它在多次执行一条固定格式的字符串时就很方便,也更效率.不像Statement那样每次执行都要先编译字符串在执行SQL了.
SQL注入攻击是利用设计上的漏洞,在目标服务器上运行SQL语句进行攻击,动态生成SQL语句时没有对用户输入的数据进行验证是SQL注入攻击得逞的主要原因.
对于JDBC而言,SQL注入攻击只对Statement有效,对PreparedStatement是无效的,这是因为PreparedStatement不允许在插入时改变查询的逻辑结构绕过验证,但这种手段只对Statement有效,对PreparedStatement无效.
如果有一条SQL语句: "SELECT * FROM test WHERE name = 'admin'
ANDpassword = admin";
Statement的SQL语句是这样写的: ""SELECT * FROM testWHERE name = '"
+ name + "' AND password ='" +
password + "'";
PreparedStatement的SQL语句是这样写的: "SELECT * FROM test WHERE name = ? and password
= ?"; 然后对应?赋值
这样我们就发现输入用户名：'or'1=1'#，密码随意输
Statement是将这个和SQL语句做字符串连接到一起执行，变成了SELECT * FROM admin WHERE `name` = ''OR'1=1'# AND
`password` ='admin'，而#后面的在MySQL中会被当做注释，所以这句话就是SELECT * FROM admin WHERE `name` =
''OR'1=1'，永远都能登陆成功。
PreparedStatement是将'or'1=1'# 作为一个字符串赋值给?,做为"用户名"字段的对应值,显然这样SQL注入无从谈起了.
实现机制不同,注入只对SQL语句的准备(编译)过程有破坏作用,而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,不再需要对SQL语句进行解析,准备,因此也就避免了SQL注入问题.
两个源代码：
运行时需建立名字为test1的数据库，里面有名字为test的表，表里面有name，password列，值分别为admin，admin。
一：Statement的SQL注入：
import
java.sql.Connection;
import
java.sql.DriverManager;
import
java.sql.ResultSet;
import
java.sql.Statement;
import
java.util.Scanner;
public class Test
{
publicstatic void main(String[] args) throws Exception {
Scannerinput = new Scanner(System.in);
Class.forName("com.mysql.jdbc.Driver");
Connectionconn = DriverManager.getConnection(
"jdbc:mysql://localhost:3306/test1","root", "root");
System.out.println("请输入用户名：");
Stringname = input.next();
//用户名：'or'1=1'#密码：随意
System.out.println("请输入密码：");
Stringpassword = input.next();
Statementstat = conn.createStatement();
Stringsql = "SELECT * FROM test WHERE name = '" + name
+ "' ANDpassword = '" + password + "'";
ResultSetrs = stat.executeQuery(sql);
if(rs.next()) {
System.out.println("登陆成功！");
}else {
System.out.println("登录失败！");
}
rs.close();
stat.close();
conn.close();
}
}
二：PreparedStatement的防SQL注入
import
java.sql.Connection;
import
java.sql.DriverManager;
import
java.sql.PreparedStatement;
import
java.sql.ResultSet;
import
java.util.Scanner;
public
class Test1 {
public static void main(String[] args) throws Exception
{
Scanner input = new Scanner(System.in);
Class.forName("com.mysql.jdbc.Driver");
Connection conn = DriverManager.getConnection(
"jdbc:mysql://localhost:3306/test1", "root",
"root");
System.out.println("请输入用户名：");
String name = input.next();
System.out.println("请输入密码：");
String password = input.next();
String sql = "SELECT
*FROM test WHERE name = ? and password = ?";
PreparedStatement stat = conn.prepareStatement(sql);
stat.setString(1, name);
stat.setString(2, password);
ResultSet rs = stat.executeQuery();
if (rs.next()) {
System.out.println("登陆成功！");
} else
{
System.out.println("登录失败！");
}
rs.close();
stat.close();
conn.close();
}
}
