SQL注入问题

一、什么是sql注入

public class TestSql { 	     public static void main(String[] args) { 		Scanner inScanner = new Scanner(System.in); 		System.out.println("请输入用户名"); 		String username = inScanner.nextLine(); 		System.out.println("请输入密码"); 		String password = inScanner.nextLine(); 		String sql = "select * from user where username = '"+username+"' and password = '"+password+"'"; 		search(sql); 	}  	public static void search(String sql) { 		try { 			Class.forName("com.mysql.jdbc.Driver"); // 1.加载驱动 			//2.建立连接 			Connection connection = (Connection) DriverManager.getConnection("jdbc:mysql://localhost:3306/login?useUnicode=true&characterEncoding=utf-8", "root", ""); 			//3.创建执行的SQL语句 				 			Statement statement = (Statement) connection.createStatement(); 			//4.执行sql语句 			ResultSet re = (ResultSet) statement.executeQuery(sql); 			//5.处理结果 			if(re.next()) { 				System.out.println("查询成功..."); 			}else { 				System.out.println("查询失败..."); 			} 	                 //6.释放资源 			if(re!=null) { 				re.close(); 			} 			if(statement !=null) { 				statement.close(); 			} 			if (connection !=null) { 				connection.close(); 			} 				 		} catch (Exception e) { 			// TODO Auto-generated catch block 			System.out.println("找不到驱动类，加载失败"); 			e.printStackTrace(); 		}  	} 	 }

以上的程序我们经过测试没什么问题，但是当输入如下数据的时候，一个可怕的问题出现了。

 

数据库中只有一个数据

那么为什么会产生这个现象呢？

我们将拼接好的sql语句拿出来

select * from user where username =' 111' and password = '1' or '1'='1';

我们将SQL语句拿到Navicat运行一下 

        这种通过传参就能改变SQL语句原本规则的操作就是SQL注入，这个在实际开发中当然是危险的，攻击者可以把SQL命令插入到Web表单的输入域或页面请求的查询字符串中，欺骗服务器执行恶意的SQL命令。

二、为什么会产生sql注入问题呢？

        我们可以把sql语句的执行流程大致分为一下几个步骤：

1.本地sql语句拼接

2.发送sql语句给DBMS

3.DBMS进行sql编译

        造成sql注入的原因在于我们在本地拼接了一条“有安全隐患的”sql语句。之后我们将拼接好的sql语句发送给DBMS,DBMS将“有安全隐患”的sql语句进行了编译执行。

这里的重点是：用户的信息参与到了编译过程，而这个信息出现了问题

三、如何解决sql注入问题呢？

        其实解决方法很简单：只要用户提供的信息不参与SQL语句的编译过程，问题就解决了。

要想让用户的信息不参与SQL语句的编译，那么就需要预先对sql语句的框架进行编译，然后再给给sql赋值。预编译完成之后我们的DBMS只需要执行我们的sql语句，没必要再次编译。可以使用java.sql.PreparedStatement接口完成预编译，PreparedStatement是属于预编译的数据库操作对象

使用PreparedStatement需要注意的几点

①:占位符

String sql = "select * from user where username = ? and password = ?";

我们拼写好的sql语句不在使用直接拼接赋值的方式，而是采用 ? 占位符进行代替

②:创建方式

statement.setString(1, usernanme); statement.setString(2, password); 

总体代码如下

public class TestSql { 	 	public static void main(String[] args) { 		Scanner inScanner = new Scanner(System.in); 		System.out.println("请输入用户名"); 		String username = inScanner.nextLine(); 		System.out.println("请输入密码"); 		String password = inScanner.nextLine(); 		String sql = "select * from user where username = ? and password = ?"; 		search(sql,username,password); 	}  	public static void search(String sql,String usernanme,String password) { 		try { 			Class.forName("com.mysql.jdbc.Driver"); // 1.加载驱动 			//2.建立连接 			Connection connection = (Connection) DriverManager.getConnection("jdbc:mysql://localhost:3306/login?useUnicode=true&characterEncoding=utf-8", "root", "2020"); 			//3.创建执行的SQL语句 			 PreparedStatement statement = (PreparedStatement) connection.prepareStatement(sql); 			// 给占位符赋值 			 statement.setString(1, usernanme); 			 statement.setString(2, password); 			 			//4.执行sql语句 			ResultSet re = (ResultSet) statement.executeQuery(); 			//5.处理结果 			if(re.next()) { 				System.out.println("查询成功..."); 			}else { 				System.out.println("查询失败..."); 			} 	                //6.释放资源 			if(re!=null) { 				re.close(); 			} 			if(statement !=null) { 				statement.close(); 			} 			if (connection !=null) { 				connection.close(); 			} 				 		} catch (Exception e) { 			// TODO Auto-generated catch block 			System.out.println("找不到驱动类，加载失败"); 			e.printStackTrace(); 		}  	} 	 }