🐓序言
当涉及到数据库操作时，防止SQL注入攻击至关重要。SQL注入是一种常见的网络安全威胁，攻击者通过在用户输入中插入恶意的SQL代码，从而可以执行未经授权的数据库操作。
🐓避免方式
使用参数化查询
使用参数化查询可以防止SQL注入攻击，并提高代码的可读性和可维护性。
在Java中，可以使用PreparedStatement来实现参数化查询。通过设置占位符（例如?）并使用setString()等方法设置参数值，可以避免SQL注入攻击。
import java.sql.*; public class Example { public static void main(String[] args) { Connection conn = null; PreparedStatement stmt = null; ResultSet rs = null; try { // 连接到数据库 conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/database", "username", "password"); // 创建PreparedStatement对象 String query = "SELECT * FROM users WHERE username = ? AND password = ?"; stmt = conn.prepareStatement(query); // 设置参数值 String username = "账号"; String password = "密码"; stmt.setString(1, username); stmt.setString(2, password); // 执行查询 rs = stmt.executeQuery(); // 处理查询结果 while (rs.next()) { // 获取每一行数据 int id = rs.getInt("id"); String name = rs.getString("name"); // 打印数据 System.out.println("ID: " + id + ", Name: " + name); } } catch (SQLException e) { e.printStackTrace(); } finally { // 关闭ResultSet、PreparedStatement和Connection if (rs != null) { try { rs.close(); } catch (SQLException e) { e.printStackTrace(); } } if (stmt != null) { try { stmt.close(); } catch (SQLException e) { e.printStackTrace(); } } if (conn != null) { try { conn.close(); } catch (SQLException e) { e.printStackTrace(); } } } } }
输入验证和过滤
对应用程序中的所有输入数据进行验证和过滤，以确保它们是有效和合法的。
使用正则表达式、内置的输入验证方法（如isDigit()、isLetter()、isWhitespace()）等来实现输入验证和过滤。
import java.util.regex.Pattern; import java.util.regex.Matcher; public class Example { public static void main(String[] args) { String input = "example123"; // 使用正则表达式进行验证 String pattern = "^[a-zA-Z0-9]+$"; boolean isValid = Pattern.matches(pattern, input); if (isValid) { System.out.println("匹配成功"); } else { System.out.println("匹配失败); } } }
使用存储过程
存储过程是一组预定义的SQL语句集合，可以在数据库中进行重复性和复杂性的操作。
在Java中，可以使用JDBC来调用和执行存储过程
import java.sql.*; public class Example { public static void main(String[] args) { String url = "jdbc:mysql://localhost:3306/mydatabase"; String username = "root"; String password = "password"; try (Connection conn = DriverManager.getConnection(url, username, password)) { // 创建CallableStatement对象来调用存储过程 CallableStatement stmt = conn.prepareCall("{call my_stored_procedure(?, ?)}"); // 设置输入参数 stmt.setInt(1, 10); // 注册输出参数 stmt.registerOutParameter(2, Types.INTEGER); // 执行存储过程 stmt.execute(); // 获取输出参数的值 int result = stmt.getInt(2); System.out.println("存储过程返回值：" + result); } catch (SQLException e) { e.printStackTrace(); } } }
最小权限原则
为数据库用户分配最小必需的权限，避免使用超级用户权限。
import java.sql.*; public class Example { public static void main(String[] args) { String url = "jdbc:mysql://localhost:3306/mydatabase"; String username = "root"; String password = "password"; try (Connection conn = DriverManager.getConnection(url, username, password)) { // 创建Statement对象 Statement stmt = conn.createStatement(); // 创建用户并授予最小权限 String createUserQuery = "CREATE USER 'limiteduser'@'localhost' IDENTIFIED BY 'password'"; stmt.executeUpdate(createUserQuery); String grantQuery = "GRANT SELECT, INSERT ON mydatabase.* TO 'limiteduser'@'localhost'"; stmt.executeUpdate(grantQuery); System.out.println("用户已创建并授予最小权限"); } catch (SQLException e) { e.printStackTrace(); } } }
避免动态拼接SQL语句
不要直接将用户输入拼接到SQL语句中，而是使用参数化查询或其他安全的方案
String sql = "SELECT * FROM users WHERE username = ?"; PreparedStatement statement = connection.prepareStatement(sql); statement.setString(1, username); ResultSet resultSet = statement.executeQuery();
使用ORM框架
使用ORM（对象关系映射）框架，如Hibernate、MyBatis等，可以帮助自动处理SQL查询和参数。
