Java-转义字符串以防止sql注入

Question

Java-转义字符串以防止sql注入

我试图在java中引入一些反SQL注入，我发现很难使用“replaceAll”字符串函数。最终，我需要一个转换任何现有函数的函数。\到\\，任何"到\"，任何'到\'，还有任何\n到\\n这样，当字符串被MySQL计算时，SQL注入就会被阻塞。

我已经整理了一些我正在使用的代码和所有的\\\\\\\\\\\在功能上让我的眼睛发狂。如果有人碰巧有这样的例子，我会非常感激的。

Answer 1

PreparedStatement是可行的，因为它们使SQL注入成为不可能。下面是一个简单的示例，将用户的输入作为参数：public insertUser(String name, String email) {    Connection conn = null;    PreparedStatement stmt = null;    try {       conn = setupTheDatabaseConnectionSomehow();       stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");       stmt.setString(1, name);       stmt.setString(2, email);       stmt.executeUpdate();    }    finally {       try {          if (stmt != null) { stmt.close(); }       }       catch (Exception e) {          // log this error       }       try {          if (conn != null) { conn.close(); }       }       catch (Exception e) {          // log this error       }    }}无论名称和电子邮件中有哪些字符，这些字符都将直接放在数据库中。它们不会以任何方式影响INSERT语句。对于不同的数据类型，有不同的集合方法-使用哪种方法取决于数据库字段是什么。例如，如果数据库中有整数列，则应使用setInt方法。筹备情况文件列出所有可用于设置和获取数据的不同方法。

Answer 2

防止SQL注入的唯一方法是使用参数化SQL。构建一个比以黑客SQL为生的人更聪明的过滤器是不可能的。因此，请为所有输入、更新和WHERE子句使用参数。动态SQL只是为黑客打开的一扇门，其中包括存储过程中的动态SQL。参数化，参数化。