Hibernate一些防止SQL注入的方式

Hibernate在操作数据库的时候,有以下几种方法来防止SQL注入,大家可以一起学习一下。

1.对参数名称进行绑定:

Query query=session.createQuery(hql);
query.setString(“username”,name);

2.对参数位置进行邦定:

Query query=session.createQuery(hql);
query.setString(0,username1);
query.setString(1,username2);

3.setParameter()方法:

Query query=session.createQuery(hql);
query.setParameter(“username”,name,Hibernate.STRING);

4.setProperties()方法:

Entity entity=new Entity();
entity.setXx(“xx”);
entity.setYy(100);
Query query=session.createQuery(“from Entity c where c.xx=:xx and c.yy=:yy ”);
query.setProperties(entity);

5.HQL拼接方法,这种方式是最常用,而且容易忽视且容易被注入的,通常做法就是对参数的特殊字符进行过滤,推荐大家使用 Spring工具包的StringEscapeUtils.escapeSql()方法对参数进行过滤:

public static void main(String[] args) {
    String str = StringEscapeUtils.escapeSql("‘");
    System.out.println(str);
}

输出结果:‘‘

总之防止SQL注入的方式的原理就是转义特殊符号。最近项目中经常直接使用HQL拼接,所以需要使用StringEscapeUtils.escapeSql来防止SQL注入,很方便吧。

时间: 2024-11-10 15:10:23

Hibernate一些防止SQL注入的方式的相关文章

Hibernate使用中防止SQL注入的几种方案

Hibernate使用中防止SQL注入的几种方案 Hibernate是一个开放源代码的对象关系映射框架,它对JDBC进行了非常轻量级的对象封装,使得Java程序员可以随心所欲的使用对象编程思维来操纵数据库. 在获取便利操作的同时,SQL的注入问题也值得我们的密切注意,下面就来谈谈几点如何避免SQL注入:    1.对参数名称进行绑定: 1 2 Query query=session.createQuery(hql); query.setString(“name”,name);        2.

[技巧篇]06.关于防止SQL注入的方式,不使用预处理

在一期,二期阶段,有一些同学,对于SQL语句总是使用字符串的拼接,这是一个比较坏的毛病,这样非常影响我们的程序的安全性,所以一般情况下我们都推荐预处理模式,针对这种模式希望不了解的同学去努力学习,下面我给大家介绍另一种防止SQL注入的方式,希望对你们有帮助! 应该说,您即使没有处理 HTML 或 JavaScript 的特殊字符,也不会带来灾难性的后果,但是如果不在动态构造 SQL 语句时对变量中特殊字符进行处理,将可能导致程序漏洞.数据盗取.数据破坏等严重的安全问题.网络中有大量讲解 SQL

SQL注入绕过方式收集

一.%00截断 %00截断是上传漏洞中常用的一个非常经典的姿势,在SQL注入中,也可以用来绕过.在WAF层,接收参数id后,遇到%00截断,只获取到 id=1,无法获取到后面的有害参数输入: http://Host/sql.aspx?id=1%00and 1=2 union select 1,2,column_name from information_schema.columns 二.GET+POST 当同时提交GET.POST请求时,进入POST逻辑,而忽略了GET请求的有害参数输入,可轻易

Java防止SQL注入

http://blog.csdn.net/abc19900828/article/details/39501349 SQL 注入简介:        SQL注入是最常见的攻击方式之一,它不是利用操作系统或其它系统的漏洞来实现攻击的,而是程序员因为没有做好判断,被不法用户钻了SQL的空子,下面我们先来看下什么是SQL注入: 比如在一个登陆界面,要求用户输入用户名和密码: 用户名:     ' or 1=1 -- 密     码: 点登陆,如若没有做特殊处理,而只是一条带条件的查询语句如: Stri

ref:Java防止SQL注入

ref:https://blog.csdn.net/abc19900828/article/details/39501349 小结:spring采用JdbcTemplate来操作sql,一般不要自行拼接sql,而是使用参数化的构造方式,则不会存在注入问题. SQL 注入简介:        SQL注入是最常见的攻击方式之一,它不是利用操作系统或其它系统的漏洞来实现攻击的,而是程序员因为没有做好判断,被不法用户钻了SQL的空子,下面我们先来看下什么是SQL注入: 比如在一个登陆界面,要求用户输入用

[安全相关]SQL注入

SQL注入常用方式 (1) or 1=1 利用or使where的条件无效,从而绕过where验证: http://localhost:3452/ExcelUsingXSLT/Default.aspx?jobid=1'or'1'='1 等效SQL语句如下: SELECT job_id, job_desc, min_lvl, max_lvl FROM jobs WHERE job_id = '1' OR '1' = 1' (2) -- 利用--注释原SQL语句,并插入新语句 http://local

简单的SQL注入学习

引贴: http://blog.163.com/lucia_gagaga/blog/static/26476801920168184648754/ 首先需要编写一个php页面,讲php页面放入/opt/lampp/htdocs目录下: 解释一下这个页面: 1.通过if语句判断变量是否初始化 2.if语句中通过mysql_connect()函数连接数据库 3.连接数据库成功后,选择一个数据库 4.选择完数据库后执行一条mysql查询 5.进行查询结果的处理 6.使用echo讲查询结果输出,便于查看

PHP代码审计SQL注入篇

什么是SQL注入 SQL注入攻击(SQL Injection),简称注入攻击,是Web开发中最常见的一种安全漏洞.可以用它来从数据库获取敏感信息,或者利用数据库的特性执行添加用户,导出文件等一系列恶意操作,甚至有可能获取数据库乃至系统用户最高权限. 而造成SQL注入的原因是因为程序没有有效过滤用户的输入,使攻击者成功的向服务器提交恶意的SQL查询代码,程序在接收后错误的将攻击者的输入作为查询语句的一部分执行,导致原始的查询逻辑被改变,额外的执行了攻击者精心构造的恶意代码. SQL注入实例 很多W

Java程序员从笨鸟到菜鸟之(一百)sql注入攻击详解(一)sql注入原理详解

前段时间,在很多博客和微博中暴漏出了12306铁道部网站的一些漏洞,作为这么大的一个项目,要说有漏洞也不是没可能,但其漏洞确是一些菜鸟级程序员才会犯的错误.其实sql注入漏洞就是一个.作为一个菜鸟小程序员,我对sql注入的东西了解的也不深入,所以抽出时间专门学习了一下.现在把学习成果分享给大家,希望可以帮助大家学习.下面我们就来看一下. 一.什么是sql注入呢?         所谓SQL注入,就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的