SQL注入,PreparedStatement和Statement
* 在SQL中包含特殊字符或SQL的关键字(如：' or 1 or ')时Statement将出现不可预料的结果（出现异常或查询的结果不正确），可用PreparedStatement来解决。
* PreperedStatement（从Statement扩展而来）相对Statement的优点：
1.没有SQL注入的问题。
2.Statement会使数据库频繁编译SQL，可能造成数据库缓冲区溢出。
3.数据库和驱动可以对PreperedStatement进行优化（只有在相关联的数据库连接没有关闭的情况下有效）。
SQLInject.java
package cn.itcast.jdbc;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
public class SQLInject {
/**
* @param args
* @throws SQLException
*/
public static void main(String[] args) throws SQLException {
//read1("admin");
read1("' or 1 or '");
}
static void read1(String userid) throws SQLException {
Connection conn = null;
Statement st = null;
ResultSet rs = null;
try {
// 2.建立连接
conn = JdbcUtils.getConnection();
// conn = JdbcUtilsSing.getInstance().getConnection();
// 3.创建语句
String sql = "select id, userid, uname, loginip from dede_admin where userid='"
+ userid + "'";
// 这种方式也可以查，但是不严谨，比如执行read("' or 1 or '")就会把所有结果都查出来
// or是mysql的关键字， 1是真， 所以通过拼串这种方式是很不安全的，因为参数是别人传进来的，
// 这样我们的系统就存在安全的隐患了。就比如登录的时候，密码随便写一个
// 出现这种问题是由于单引号引起的，把单引号替换掉是一种处理方式，但是有时候单引号是保留字，
// 有时候双引号是保留字，有时候反引号是保留字，这样过滤起来就没完没了，这样处理，
// 就算你能保证现在能正常运行，但也不能保证以后能正常运行，或者说不能保证换个数据库能正常运行，
// 那么这些关键字谁最清楚呢？ 应该是数据库生产厂商最清楚，而在我们代码里？谁最清楚呢？
// 驱动最清楚，因为驱动是数据库生产厂商生产的，所以驱动肯定清楚
// 那我们的解决思路是我们不去进行过滤的工作，交给数据库驱动去干这件事情。
System.out.println("sql=" + sql);
st = conn.createStatement();
// 4.执行语句
rs = st.executeQuery(sql);
// 5.处理结果
while (rs.next()) {
System.out.println(rs.getObject("id") + "\t"
+ rs.getObject("userid") + "\t" + rs.getObject("uname")
+ "\t" + rs.getObject("loginip"));
}
} finally {
JdbcUtils.free(rs, st, conn);
}
}
}
