当前位置：首页 > news >正文

jdbc学习——SQL注入

news 2025/6/28 3:16:36

SQL注入介绍

SQL注入是通过操作输入来修改事先定义好的SQL语句，用以达到执行代码对服务器进行攻击的方法。

用户登录的本质：执行下面的sql语句

select * from tb_user where username = 'zhangsan' and password = '123';

发生sql注入的本质

解决SQL注入的方法（PreparedStatement预编译SQL）

PreparedStatement作用： 预编译SQL并执行SQL语句
① 获取 PreparedStatement 对象

// SQL语句中的参数值，使用？占位符替代  
String sql = "select * from user where username = ? and password = ?";  
// 通过Connection对象获得，并传入对应的sql语句  
PreparedStatement pstmt = conn.prepareStatement(sql);

② 设置参数值
PreparedStatement对象：setXxx(参数1, 参数2)：给？赋值（如果是增删改语句也是通过？来赋值）
Xxx：数据类型；如setInt(参数1, 参数2)
参数：

参数1：？的位置编号，从1开始
参数2：？的值

③ 执行SQL

executeUpdate();

如果是INSERT、UPDATE或DELETE语句则executeQuery();它返回一个整数，表示执行的行数；不管是那种都不需要再传递sql

        //1. 注册驱动Class.forName("com.mysql.jdbc.Driver");//2. 获取连接String url = "jdbc:mysql:///dqlsearch?useSSL=false";String username = "root";String password = "123456";Connection conn = DriverManager.getConnection(url, username, password);// 要查询的具体数据String math_score = "72";String chinese_score = "70";// 定义sqlString sql = "select * from studentscore where chinese_score = ? and math_score = ?";// 获取pstmt对象，同时进行预编译PreparedStatement pstmt = conn.prepareStatement(sql);// 设置?的值pstmt.setString(1, chinese_score);pstmt.setString(2, math_score);// 执行sqlResultSet rs = pstmt.executeQuery();if(rs.next()){System.out.println("找到了");}else{System.out.println("没找到");}// 释放资源rs.close();pstmt.close();conn.close();