Bagaimanakah PreparedStatements Boleh Mencegah Suntikan SQL dalam Java?

Mencegah SQL Injection: Escaping Strings in Java

Tugas melindungi daripada suntikan SQL memerlukan pengendalian rentetan input yang teliti. Satu pendekatan ialah mengubah suai rentetan sedia ada untuk mengelakkan eksploitasi aksara khas. Khususnya, menukar garis miring terbalik sedia ada () kepada , tanda petikan (") kepada ", apostrof (') kepada ', dan baris baharu (n) kepada n memastikan rentetan menjadi tidak berbahaya apabila dinilai oleh pertanyaan pangkalan data MySQL.

Walaupun fungsi replaceAll boleh mencapai transformasi ini, penggunaannya boleh menjadi berbelit-belit disebabkan oleh banyaknya garis miring ke belakang. Untuk menangani perkara ini, kaedah alternatif dan lebih selamat ialah menggunakan PreparedStatements.

PreparedStatements menghapuskan kemungkinan suntikan SQL dengan menganggap input pengguna sebagai parameter dalam pernyataan pertanyaan. Pertimbangkan contoh kod Java berikut:

public insertUser(String name, String email) {
   Connection conn = null;
   PreparedStatement stmt = null;
   try {
      conn = setupTheDatabaseConnectionSomehow();
      stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");
      stmt.setString(1, name);
      stmt.setString(2, email);
      stmt.executeUpdate();
   }
   finally {
      try {
         if (stmt != null) { stmt.close(); }
      }
      catch (Exception e) {
         // log this error
      }
      try {
         if (conn != null) { conn.close(); }
      }
      catch (Exception e) {
         // log this error
      }
   }
}

Tidak kira aksara yang terkandung dalam nama dan e-mel, ia dimasukkan dengan selamat ke dalam pangkalan data tanpa menimbulkan sebarang ancaman kepada integriti pernyataan INSERT.

Kelas PreparedStatement menawarkan pelbagai kaedah set yang disesuaikan dengan jenis data tertentu, memastikan keserasian dengan definisi medan pangkalan data. Sebagai contoh, untuk menetapkan lajur INTEGER, kaedah setInt akan digunakan. Rujuk dokumentasi PreparedStatement untuk senarai komprehensif kaedah yang tersedia.

Atas ialah kandungan terperinci Bagaimanakah PreparedStatements Boleh Mencegah Suntikan SQL dalam Java?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!