防止Java程序中的SQL注入攻击

Question

我必须在我的java程序中添加一条语句以更新数据库表：

String insert =
    "INSERT INTO customer(name,address,email) VALUES('" + name + "','" + addre + "','" + email + "');";

我听说可以通过SQL注入来利用此漏洞，例如：

DROP TABLE customer;

我的程序具有Java GUI，并且从中检索所有名称，地址和电子邮件值Jtextfields。我想知道DROP TABLE customer;黑客如何将以下代码（）添加到我的插入语句中，以及如何防止这种情况发生。

Answer 1

您需要使用PreparedStatement。例如

String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);";
PreparedStatement ps = connection.prepareStatement(insert);
ps.setString(1, name);
ps.setString(2, addre);
ps.setString(3, email);

ResultSet rs = ps.executeQuery();

这样可以防止注入攻击。

黑客将其放入其中的方式是，如果您要插入的字符串来自某个地方的输入-例如，网页上的输入字段，或应用程序或类似表格中的输入字段。