当前位置：首页 > news >正文

SQL注入问题

news 来源：原创 2025/5/11 17:41:28

一、SQL注入漏洞概述

二、SQL注入漏洞的产生

2.1 产生效果

2.2 产生原因

三、SQL注入漏洞的解决

3.1 使用PreparedStatement接口

3.2 预编译SQL语句

3.3 掌握的方法

3.3.1 获取PreparedStatement对象

3.3.2 设置参数

3.3.3 执行SQL语句

3.3.4 示例代码

四、总结

一、SQL注入漏洞概述

SQL注入是一种常见的Web安全漏洞，攻击者通过在应用程序的输入字段中插入恶意的SQL代码，从而操纵后端数据库执行非预期的操作。这种漏洞可能导致数据泄露、数据篡改甚至完全控制系统。

二、SQL注入漏洞的产生

2.1 产生效果

在已知用户名的情况下，输入任意的密码，攻击者可以成功登录系统。例如，输入用户名aaa'or'1=1和任意密码，攻击者可以绕过身份验证。

2.2 产生原因

SQL注入漏洞通常是由于后台程序直接拼接用户输入的SQL语句导致的。例如，以下代码片段展示了如何拼接SQL语句：

String sql = "select * from t_user where username = '"+username+"' and password = '"+password+"'";

当用户输入如下值时：

用户名：aaa'or'1=1
密码：任意字符

生成的SQL语句将变为：

select * from t_user where username = 'aaa'or'1=1' and password = 'sfsdfsds';

或者，如果用户输入用户名为aaa'--，生成的SQL语句将变为：

select * from t_user where username = 'aaa'--'' and password = 'sfsdfsdfs';

在这种情况下，注释符--会使后面的密码验证部分失效，从而导致SQL语句始终为真，攻击者可以成功登录。

三、SQL注入漏洞的解决

3.1 使用PreparedStatement接口

PreparedStatement是Statement的子接口，支持预编译SQL语句，能有效防止SQL注入问题。推荐使用PreparedStatement来代替Statement。

3.2 预编译SQL语句

PreparedStatement具有预编译的功能，可以将SQL语句中的参数部分使用?（占位符）来代替。首先将编写的SQL语句发送到MySQL服务器端进行编译，编译后的SQL语句格式固定，再传入任何值都会作为参数处理。

3.3 掌握的方法

3.3.1 获取PreparedStatement对象

通过Connection接口提供的方法，可以创建预编译的SQL语句：

Connection conn = DriverManager.getConnection(url, user, password);
String sql = "SELECT * FROM t_user WHERE username = ? AND password = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);

3.3.2 设置参数

使用PreparedStatement的setXxx方法向?占位符传入具体值：

pstmt.setString(1, username); // 设置第一个参数
pstmt.setString(2, password); // 设置第二个参数

3.3.3 执行SQL语句

执行查询或更新操作：

ResultSet rs = pstmt.executeQuery(); // 执行查询
// int affectedRows = pstmt.executeUpdate(); // 执行增删改

3.3.4 示例代码

以下是一个完整的示例，展示如何使用PreparedStatement防止SQL注入：

import java.sql.*;public class UserLogin {public static void main(String[] args) {String url = "jdbc:mysql:///day07";String user = "root";String password = "root";Connection conn = null;PreparedStatement pstmt = null;ResultSet rs = null;try {// 加载驱动Class.forName("com.mysql.jdbc.Driver");// 获取连接conn = DriverManager.getConnection(url, user, password);// 编写SQL语句String sql = "SELECT * FROM t_user WHERE username = ? AND password = ?";// 获取PreparedStatement对象pstmt = conn.prepareStatement(sql);// 设置参数pstmt.setString(1, "aaa'or'1=1"); // 模拟恶意输入pstmt.setString(2, "任意字符");// 执行查询rs = pstmt.executeQuery();// 遍历结果集if (rs.next()) {System.out.println("登录成功");} else {System.out.println("登录失败");}} catch (ClassNotFoundException | SQLException e) {e.printStackTrace();} finally {// 关闭资源if (rs != null) {try {rs.close();} catch (SQLException e) {e.printStackTrace();}}if (pstmt != null) {try {pstmt.close();} catch (SQLException e) {e.printStackTrace();}}if (conn != null) {try {conn.close();} catch (SQLException e) {e.printStackTrace();}}}}
}

在上述示例中，即使输入了恶意的SQL代码，由于使用了PreparedStatement，SQL语句在服务器端已经预编译，参数部分会被正确处理，不会导致SQL注入漏洞。