WEB安全之SQL注入

SQL注入漏洞

- 数据库的内容被外界窃取

- 数据库内容被篡改

- 登陆认证被绕过

- 其他，例如服务器上的文件被读取或修改、服务器上的程序被执

产生SQL注入漏洞的根本原因是：被指定为参数的字符串部分被排除出字面量,导致SQL语句发生变化。

使用占位符拼接SQL语句。

占位符依据实现方法分为静态占位符和动态占位符。理论上，静态占位符能够完全小吃SQL注入漏洞的可能性，尽量采用静态占位符。

java连接数据库MySQL时使用JDBC驱动的MySQLConnector/J。这一组合默认使用的是动态占位符，因此修改如下代码给位使用静态占位符。

Connection conn = DriverManager.getConnection("jdbc:mysql://localhost/dbname?user=xxx&password=xxx&userServerPrepStmts=true&useUnicode=true&characterEncoding=utf-8")