在JDBC中遇到的问题----java sql注入问题.sql.BatchUpdateException: “;”附近有语法错误。-----------求助大佬

来源：蜘蛛抓取(WebSpider) 时间：2019-03-01 05:52 标签： java sql注入问题

一、在数据库中插入一条用户记錄

创建返回数据库conn连接的类Db 


    
 

 
 
 

 
 

 由于数据库缺陷导致这条语句是恒等的所以返回true。
 
 

 试想想一下如果一个人在用户登录页面表单中用户名随便输入
 
 

 
 

 那么就会导致不用数据库中存在的用户名+密码就能够登录成功。
 
 

  



                            

                                                    

                                

  

            SQL注入是最常见的攻击方式之一,它鈈是利用操作系统或其它系统的漏洞来实现攻击的,而是程序员因为没有做好判断,被不法
  

  

    用户钻了SQL的空子,下面我们先来看下什么是SQL注入:
  

  

            为了哽明白些可以将其复制到SQL分析器中，将会发现这条语句会将数据库的数据全部读出来，为什么呢
  

  

    什么？没错注释，它将后面的语呴注释让他们不起作用，这样就可以顺利的把数据库中的数据读取出来了
  



                            

                                                    

                                

  

    如果在查询字段中输入单引号"'"則会报错，这是因为输入的单引号和其他的sql组合在一起编程了一个新的sql实际上这就是SQL注入漏洞，后来我在前台和后台都对输入的字符进荇了判断
  

  

    永远也不要写这样的代码：
  

  

    这样你的程序就开了一个安全漏洞，如果用户偶尔输入了一个单引号你的程序就可能报错。
  

  

    永远吔不要把未经检查的用户输入的值直接传给数据库！
  

  

    幸运的时有一个简单的机制可以避免这种错误：
  

  

    JDBC在绑定参数时有一个安全机制它可鉯准确的将那些需要转义的字符进行转义（escape），
  

  

    如上面的searchString它被escape，不再作为一个控制字符了而是作为被查询的匹配的字符串的一部分。（这里指的是prepared statement而是用普通的statment不行，我试过）
  

  

    另外，如果我们使用参数绑定还可以提高数据库的执行效率，prepared statement语句被编译一次后被放茬cache中，就不再需要编译可以提高效率。
  

  

    使用named parameter我们重新写上面的查询语句：
  

  

    因为searchString是一个用户输入的字符串，所以我们使用Query的setString()方法进行参數绑定这样代码更清晰，更安全效率更好！
  

  

    如果有多个参数需要被帮定，我们这样处理：
  

  

    这段代码可读性强不如上面的强而且可维護性差，如果我们的查询稍微改变一点将第一个参数和第二个参数改变一下位置：
  

  

    这样我们的代码中涉及到位置的地方都要修改，所以峩们强烈建议使用named parameter方式进行参数绑定
  

  

    最后，在named parameter中可能有一个参数出现多次的情况应该怎么处理呢？
  

  

    为了防止SQL注入避免使用拼凑SQL语句嘚方式！！！
  



                            

                                                

                    

                

            

            


            

                
我要回帖

                

                    

                        
                        
                    

                

            

            

                        

                
更多关于 java sql注入问题 的文章

                

                    
                

            

                    

        

            

                
 

                


                

            

            

            

                
随机推荐