mysql学习笔记（八）：防止sql注入

一、什么是sql注入？

看下面的两种情况：

第一种情况

第一种情况变成的代码：

这上面即使是没有密码也是可以登录上去的。

这些情况就是sql注入

总结：由于dao中执行的SQL语句是拼接出来的,其中有一部分内容是由用户从客户端传入,所以当用户传入的数据中包含sql关键字时,就有可能通过这些关键字改变sql语句的语义,从而执行一些特殊的操作,这样的攻击方式就叫做sql注入攻击

二、如何解决？

为了解决这个问题，我们先来了解一个类

这个preparedstatement是statement类的子类，它有一个功能就是可以预编译

下面建一个JDBCDemo3.java

package com.javaweb.dao;import com.javaweb.util.JDBCUtils;import java.sql.Connection;import java.sql.PreparedStatement;import java.sql.ResultSet;import java.sql.SQLException;public class JDBCDemo3 {public static void main(String[] agrs){Connection conn=null;PreparedStatement ps=null;ResultSet rs=null;try {conn=JDBCUtils.getConn();ps=conn.prepareStatement("select * from users where username=? and password=?");} catch (Exception e) {e.printStackTrace();}finally{JDBCUtils.close(rs, ps,conn);}}}

下面先介绍一个工具，这是mysql的工具

连接数据库

打开表

新插入一个数据记录

】

可以在cmd窗口查询

除了cmd窗口，这个软件也提供另外一个窗口

介绍完工具以后，继续完善JDBCDemo3.java

下面是代码：

package com.javaweb.dao;import com.javaweb.util.JDBCUtils;import java.sql.Connection;import java.sql.PreparedStatement;import java.sql.ResultSet;import java.sql.SQLException;public class JDBCDemo3 {public static void main(String[] agrs){Connection conn=null;PreparedStatement ps=null;ResultSet rs=null;try {conn=JDBCUtils.getConn();ps=conn.prepareStatement("select * from users where username=? and password=?");ps.setString(1, "zs");ps.setString(2, "999");rs=ps.executeQuery();while(rs.next()){System.out.println(rs.getString("email"));}} catch (Exception e) {e.printStackTrace();}finally{JDBCUtils.close(rs, ps,conn);}}}

因为要将 MySqlUserDao中的Statement改用PreparedStatement类，这时候我们新建一个 MySqlUserDao2

package com.javaweb.dao;import java.sql.Connection;import java.sql.PreparedStatement;import java.sql.ResultSet;import java.sql.Statement;import com.javaweb.domain.User;import com.javaweb.util.JDBCUtils;public class MySqlUserDao2 implements UserDao{public void addUser(User user) {String sql="insert into users valuses(null,?,?,?,?)";Connection conn=null;PreparedStatement ps=null;ResultSet rs=null;try {conn=JDBCUtils.getConn();ps=conn.prepareStatement(sql);ps.setString(1, user.getUsername());ps.setString(2, user.getPassword());ps.setString(3, user.getNickname());ps.setString(4, user.getEmail());} catch (Exception e) {e.printStackTrace();throw new RuntimeException(e);}finally{JDBCUtils.close(rs, ps, conn);}}public User findUserByUNandPSW(String username, String password) {String sql = "select * from users where username=? and password=?";Connection conn=null;PreparedStatement ps=null;ResultSet rs=null;try{conn = JDBCUtils.getConn();ps = conn.prepareStatement(sql);ps.setString(1, username);ps.setString(2, password);rs = ps.executeQuery(sql);if(rs.next()){User user = new User();user.setId(rs.getInt("id"));user.setUsername(rs.getString("username"));user.setPassword(rs.getString("password"));user.setNickname(rs.getString("nickname"));user.setEmail(rs.getString("email"));return user;}else{return null;}}catch (Exception e) {e.printStackTrace();throw new RuntimeException(e);}finally{JDBCUtils.close(rs, ps, conn);}}public User findUserByUserName(String username) {String sql = "select * from users where username=?";Connection conn=null;PreparedStatement ps=null;ResultSet rs=null;try{conn = JDBCUtils.getConn();ps = conn.prepareStatement(sql);ps.setString(1, username);rs = ps.executeQuery(sql);if(rs.next()){User user = new User();user.setId(rs.getInt("id"));user.setUsername(rs.getString("username"));user.setPassword(rs.getString("password"));user.setNickname(rs.getString("nickname"));user.setEmail(rs.getString("email"));return user;}else{return null;}}catch (Exception e) {e.printStackTrace();throw new RuntimeException(e);}finally{JDBCUtils.close(rs, ps, conn);}}}

再在配置文件中配置，就大功告成了

这时候就完成了。