什么是SQL注入
现象：
账户名：xxx
密码：xxx ’ or ’ 1 ’ = ’ 1
登录成功
原因：
原执行sql：
String sql = "select * from t_user where loginName = '"+loginName+"' and'"+loginPwd+"'";
注入后执行sql：
String sql = "select * from t_user where loginName = 'xxx' and loginPwd = 'xxx' or '1'='1'";
根本原因：
用户输入的信息中含有sql语句中的关键字，并且这些关键字参与sql语句的编译过程。
导致sql语句的原意被扭曲，进而达到sql注入。
解决方法
只要用户提供的信息不参与SQL语句的编译过程，问题就解决了。
即使用户提供的信息中含有SQL语句的关键字，但是没有参与编译，不起作用。
要想用户信息不参与SQL语句的编译，那么可以使用java . sql. PreparedStatement
PreparedStatement接口继承了java. sqI . Statement
PreparedStatement是属于预编译的数据库操作对象。
PreparedStatement的原理是:预先对SQL语句的框架进行编译，然后再给SQL语句传"值”。
原代码：
import java.sql.*; import java.util.*; /** * @Author: Mo * @Date: 2021/3/20 9:56 */ public class JDBCtest_6 { public static void main(String[] args) { //初始化一个界面 Map<String,String> userLoginInfo = initUI(); //验证用户名和密码 boolean loginSuccess = login(userLoginInfo); //最后输出结果 System.out.println(loginSuccess ? "登陆成功":"登陆失败"); } /** * 用户登录 * @param userLoginInfo 用户登录信息 * @return false表示失败，true表示成功 */ private static boolean login(Map<String, String> userLoginInfo) { //打标记的意识 boolean loginSuccess = false; //单独定义变量 String loginName = userLoginInfo.get("loginName"); String loginPwd = userLoginInfo.get("loginPwd"); //JDBC代码 Connection conn = null; Statement stmt = null; ResultSet rs = null; try { //1.注册驱动 Class.forName("com.mysql.jdbc.Driver"); //2.获取连接 conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/bjpowernode","root","123456"); //3.获取数据库操作对象 stmt = conn.createStatement(); //4.执行sql String sql = "select * from t_user where loginName = '"+loginName+"' and '"+loginPwd+"'"; rs = stmt.executeQuery(sql); //5.处理结果集 if (rs.next()){ //登陆成功 loginSuccess = true; } }catch (ClassNotFoundException | SQLException e ){ e.printStackTrace(); }finally { //6.释放资源 if (rs != null){ try { rs.close(); }catch (SQLException e){ e.printStackTrace(); } } if (stmt != null){ try { stmt.close(); }catch (SQLException e){ e.printStackTrace(); } } if (conn != null){ try { conn.close(); }catch (SQLException e){ e.printStackTrace(); } } } return loginSuccess; } /** *初始化用户界面 *return用户输入的用户名和密码等登录信息 */ private static Map<String,String> initUI() { Scanner s = new Scanner(System.in); System.out.println("用户名："); String loginName = s.nextLine(); System.out.println("密码："); String loginPwd = s.nextLine(); Map<String,String>userLoginInfo = new HashMap<>(); userLoginInfo.put("loginName",loginName); userLoginInfo.put("loginPwd",loginPwd); return userLoginInfo; } }
修改后：
import java.sql.*; import java.util.HashMap; import java.util.Map; import java.util.Scanner; /** * @Author: Mo * @Date: 2021/3/20 19:37 */ public class JDBCtest_7 { public static void main(String[] args) { //初始化一个界面 Map<String,String> userLoginInfo = initUI(); //验证用户名和密码 boolean loginSuccess = login(userLoginInfo); //最后输出结果 System.out.println(loginSuccess ? "登陆成功":"登陆失败"); } /** * 用户登录 * @param userLoginInfo 用户登录信息 * @return false表示失败，true表示成功 */ private static boolean login(Map<String, String> userLoginInfo) { //打标记的意识 boolean loginSuccess = false; //单独定义变量 String loginName = userLoginInfo.get("loginName"); String loginPwd = userLoginInfo.get("loginPwd"); //JDBC代码 Connection conn = null; PreparedStatement ps = null;//这里使用PreparedStatement（预编译的数据库操作对象） ResultSet rs = null; try { //1.注册驱动 Class.forName("com.mysql.jdbc.Driver"); //2.获取连接 conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/bjpowernode","root","123456"); //3.获取预编译的数据库操作对象 String sql = "select * from t_user where loginName = ? and ?";// SQL语句的框架。其中一个？表示一个占位符，一个？将来接收一个“值”，注意：占位符不能使用单括号括起来。 ps = conn.prepareStatement(sql); //给占位符？传值（第1个？下标是1，第2个问号下标是2，JDBC中所有的下标从一开始） ps.setString(1,loginName); ps.setString(2,loginPwd); //4.执行sql rs = ps.executeQuery(); //5.处理结果集 if (rs.next()){ //登陆成功 loginSuccess = true; } }catch (ClassNotFoundException | SQLException e ){ e.printStackTrace(); }finally { //6.释放资源 if (rs != null){ try { rs.close(); }catch (SQLException e){ e.printStackTrace(); } } if (ps != null){ try { ps.close(); }catch (SQLException e){ e.printStackTrace(); } } if (conn != null){ try { conn.close(); }catch (SQLException e){ e.printStackTrace(); } } } return loginSuccess; } /** *初始化用户界面 *return用户输入的用户名和密码等登录信息 */ private static Map<String,String> initUI() { Scanner s = new Scanner(System.in); System.out.println("用户名："); String loginName = s.nextLine(); System.out.println("密码："); String loginPwd = s.nextLine(); Map<String,String>userLoginInfo = new HashMap<>(); userLoginInfo.put("loginName",loginName); userLoginInfo.put("loginPwd",loginPwd); return userLoginInfo; } }
Statement和PreparedStatement的对比
Statement存在SQL注入问题，PreparedStatement解决了SQL注入的问题。
Statement是编译一次执行一次，PreparedStatement是编译一次可执行N次。PreparedStatement效率较高一些。
PreparedStatement会在编译阶段做类型的安全检查。
综上所述：PreparedStatement使用较多，只有极少数情况下需要使用Statement。
