jsp防sql脚本注入攻击

  方法是过滤用户名密码中的非法字符。
过滤函数

1. public static boolean sql_inj(String str)  
2. { 
3. String inj_str = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,"; 
4. String inj_stra[] =inj_strsplit("//|"); 
5. for (int i=0 ; i < inj_stra.length ; i++ ) 
6. { 
7. if (str.indexOf(inj_stra)>=0) 
8. { 
9. return true; 
10. } 
11. } 
12. return false; 
13. } 
14.  
16. 使用(后台或前台都可以)
17. if(request.getParameter("userID") != null) 
18. userID = request.getParameter("userID").trim(); 
19.  
20. if (sql_inj(userID) || sql_inj(pwd)){ 
21. 用户名或密码中含非法字符
22. ....
24. }
26.