Verhinderung von SQL-Injection-Angriffen in Java-Programmen

Question

Ich muss meinem Java-Programm eine Anweisung hinzufügen, um die Datenbanktabelle zu aktualisieren:

String insert =
    "INSERT INTO customer(name,address,email) VALUES('" + name + "','" + addre + "','" + email + "');";

Ich habe gehört, dass dies beispielsweise per SQL-Injection ausgenutzt werden kann:

DROP TABLE customer;

Mein Programm verfügt über eine Java-GUI und alle Namens-, Adress- und E-Mail-Werte werden von Jtextfields 检索。我想知道黑如何将以下代码（DROP TABLE customer;) zu meiner Einfügeanweisung hinzugefügt und wie kann ich das verhindern?

Answer 1

例如：

name = "'); DROP TABLE customer; --"

会将此值插入到插入中：

INSERT INTO customer(name,address,email)     VALUES(''); DROP TABLE customer; --"','"+addre+"','"+email+"');

使用准备好的语句和 SQL 参数（来自 Matt Fellows 的“窃取”示例）：

String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);";
PreparedStament ps = connection.prepareStatment(insert);

还要解析此类变量的值，并确保它们不包含任何不允许的字符（例如名称中的“;”）。

Answer 2

您需要使用PreparedStatement。 例如

String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);";
PreparedStatement ps = connection.prepareStatement(insert);
ps.setString(1, name);
ps.setString(2, addre);
ps.setString(3, email);

ResultSet rs = ps.executeQuery();

这将防止注入攻击。

黑客将其放入其中的方式是，如果您插入的字符串来自某处的输入 - 例如网页上的输入字段，或者应用程序或类似应用程序中表单上的输入字段。