Question

尝试开始使用JDBC（使用Jetty+MySQL）。我不知道如何在SQL语句中转义用户提供的参数。示例：

String username = getDangerousValueFromUser();
Statement stmt = conn.createStatement();
stmt.execute("some statement where username =  " + username + " "));

在与语句一起使用之前，我们如何转义“username”？

Answer 1

使用准备好的语句。

例如：

con.prepareStatement("update Orders set pname = ? where Prod_Id = ?");
pstmt.setInt(2, 100);
pstmt.setString(1, "Bob");
pstmt.executeUpdate();

它将阻止原始SQL注入

如果要转义sql字符串，请检查StringEscapeUtils.escapeSql（）。请注意，此方法是在Commons Lang 3中已弃用。

另请参阅

does-using-preparedstatement-mean-there-will-not-be-any-sql-injection

友情链接