如何通过JPA和Hibernate防止SQL注入？
我正在使用hibernate模式开发应用程序。当我尝试创建登录页面时，出现Sql Injection问题。我有以下代码：
@Component
@Transactional(propagation = Propagation.SUPPORTS)
public class LoginInfoDAOImpl implements LoginInfoDAO{
@Autowired
private SessionFactory sessionFactory;
@Override
public LoginInfo getLoginInfo(String userName,String password){
List<LoginInfo> loginList = sessionFactory.getCurrentSession().createQuery("from LoginInfo where userName='"+userName+"' and password='"+password+"'").list();
if(loginList!=null )
return loginList.get(0);
else return null;
}
}
在这种情况下，如何防止Sql Injection？loginInfo表的创建表语法如下：
create table login_info
(user_name varchar(16) not null primary key,
pass_word varchar(16) not null);
问题答案：
Query q = sessionFactory.getCurrentSession().createQuery("from LoginInfo where userName = :name");
q.setParameter("name", userName);
List<LoginInfo> loginList = q.list();
您还有其他选择，请参阅mkyong的这篇不错的文章。
-
问题内容： 我有一个现有的代码，其中应用程序根据很多条件生成不同的sql并通过hibernate会话createSQLQuery（）执行它们。在这里，这些参数与作为普通字符串替换驻留在java类中的sql字符串相连接。现在的问题是，我需要防止sql注入。因此，为此，我必须使用getNamedQuery（）并绑定参数，以便hibernate将处理特殊字符。但是问题在于将字符串sql的字符串移动到xm
-
注意：但凡是sql注入漏洞的程序，都是因为程序要接受来自客户端用户输入的变量或URL传递的参数，并且这个变量或参数是组成sql语句的一部分，对于用户输入的内容或传递的参数，我们应该要时刻保持警惕，这是安全领域里的【外部数据不可信任】的原则，纵观web安全领域的各种攻击方式，大多数都是因为开发者违反了这个原则而导致的，所以自然能想到，就是变量的检测、过滤、验证下手，确保变量是开发者所预想的。 1、检
-
本文向大家介绍ThinkPHP如何防止SQL注入？相关面试题，主要包含被问及ThinkPHP如何防止SQL注入？时的应答技巧和注意事项，需要的朋友参考一下 （1）查询条件尽量使用数组方式，这是更为安全的方式； （2）如果不得已必须使用字符串查询条件，使用预处理机制； （3）使用绑定参数 （4）开启数据字段类型验证，可以对数值数据类型做强制转换；（3.1版本开始已经强制进行字段类型验证了） （5）使
-
问题内容： 我是erlang的新手，我需要编写一些代码来在MySQL数据库中插入行。如何使用Erlang防止SQL注入？是否还有其他语言的预备陈述之类的东西，或者我应该怎么做？ 多谢您的回覆。 问题答案： 该答案取决于您使用的驱动程序。 Erlang ODBC具有param_query函数，该函数将一组参数绑定到查询，并且还可能转义所有SQL特殊字符。 erlang-mysql-driver已经准
-
问题内容： 有什么方法可以通过JPA注释指定SQL注释？表和列的注释。 问题答案： 有什么方法可以通过JPA注释指定SQL注释？表和列的注释。 否。如果要定义表和列注释，最好的选择是在生成的DDL中根据事实进行操作，然后再对数据库执行操作。
-
所谓 SQL 注入，就是通过把 SQL 命令插入到 Web 表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的 SQL 命令。具体来说，它是利用现有应用程序，将（恶意）的 SQL 命令注入到后台数据库引擎执行的能力，它可以通过在 Web 表单中输入（恶意）SQL 语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行 SQL 语句。比如先前的很多影视网站泄露 VI