Mencegah serangan suntikan SQL dalam program Java-Soal Jawab Rangkaian PHP Cina

Artikel Topik pembelajaran Muat turun Soal Jawab Kamus Pengaturcaraan Permainan kemas kini terkini

简体中文(ZH-CN) English(EN) 繁体中文(ZH-TW) 日本語(JA) 한국어(KO) Melayu(MS) Français(FR) Deutsch(DE)

Mencegah serangan suntikan SQL dalam program Java

P粉328911308 2023-10-20 20:06:17

538

Saya perlu menambah kenyataan pada program java saya untuk mengemas kini jadual pangkalan data:

String insert = "INSERT INTO customer(name,address,email) VALUES('" + name + "','" + addre + "','" + email + "');";

Saya dengar ini boleh dieksploitasi melalui suntikan SQL, contohnya:

DROP TABLE customer;

Program saya mempunyai GUI Java dan semua nama, alamat dan nilai e-mel ditambah daripadaJtextfields检索。我想知道黑如何将以下代码（DROP TABLE customer;) pada penyata sisipan saya dan bagaimana saya boleh menghalang perkara ini.

P粉328911308

membalas semua (2)

P粉1949190822023-10-21 12:11:28 Tingkat 2

Contohnya:

name = "'); DROP TABLE customer; --"

akan memasukkan nilai ini ke dalammasukkan:

INSERT INTO customer(name,address,email) VALUES(''); DROP TABLE customer; --"','"+addre+"','"+email+"');

Gunakan pernyataan yang disediakan dan parameter SQL (contoh "mencuri" daripada Matt Fellows):

String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);"; PreparedStament ps = connection.prepareStatment(insert);

Juga menghuraikan nilai pembolehubah tersebut dan pastikan ia tidak mengandungi sebarang aksara yang tidak dibenarkan (seperti ";" dalam nama).

Suka+0

Tambah Balasan

P粉0304790542023-10-21 09:25:32 Tingkat 1

Anda perlu menggunakanPreparedStatement. Contohnya

String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);"; PreparedStatement ps = connection.prepareStatement(insert); ps.setString(1, name); ps.setString(2, addre); ps.setString(3, email); ResultSet rs = ps.executeQuery();

Ini akan menghalang serangan suntikan.

Cara penggodam memasukkannya ialah jika rentetan yang anda masukkan datang daripada input di suatu tempat - seperti medan input pada halaman web atau medan input pada borang dalam apl atau yang serupa.

Suka+0

Tambah Balasan