Heim > Fragen und Antworten > Hauptteil
Ich muss meinem Java-Programm eine Anweisung hinzufügen, um die Datenbanktabelle zu aktualisieren:
String insert = "INSERT INTO customer(name,address,email) VALUES('" + name + "','" + addre + "','" + email + "');";
Ich habe gehört, dass dies beispielsweise per SQL-Injection ausgenutzt werden kann:
DROP TABLE customer;
Mein Programm verfügt über eine Java-GUI und alle Namens-, Adress- und E-Mail-Werte werden von Jtextfields
检索。我想知道黑如何将以下代码(DROP TABLE customer;
) zu meiner Einfügeanweisung hinzugefügt und wie kann ich das verhindern?
P粉1949190822023-10-21 12:11:28
例如:
name = "'); DROP TABLE customer; --"
会将此值插入到插入中:
INSERT INTO customer(name,address,email) VALUES(''); DROP TABLE customer; --"','"+addre+"','"+email+"');
使用准备好的语句和 SQL 参数(来自 Matt Fellows 的“窃取”示例):
String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);"; PreparedStament ps = connection.prepareStatment(insert);
还要解析此类变量的值,并确保它们不包含任何不允许的字符(例如名称中的“;”)。
P粉0304790542023-10-21 09:25:32
您需要使用PreparedStatement。 例如
String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);"; PreparedStatement ps = connection.prepareStatement(insert); ps.setString(1, name); ps.setString(2, addre); ps.setString(3, email); ResultSet rs = ps.executeQuery();
这将防止注入攻击。
黑客将其放入其中的方式是,如果您插入的字符串来自某处的输入 - 例如网页上的输入字段,或者应用程序或类似应用程序中表单上的输入字段。