检查密码是否与特定用户匹配-PostgreSQL和Java

Question

我正在尝试实现一段代码，检查hashed_password和user_name是否匹配。下面的代码首先检查用户名是否有效，如果有效，代码将检查密码是否与用户名匹配。但是，这是一段代码不起作用。我可以从数据库输入正确的用户名和相应的正确密码，它会显示正确的消息您可以继续！。但是如果我从数据库输入正确的用户名，但密码不正确，它仍然会显示您可以继续！。感谢任何帮助！

public void letsLogin() throws SQLException
 {

  System.out.print("Enter your user name: ");
  username = in.next();


  sql = "SELECT " + "username " + "FROM" + " users_table" + " where username = "
        + "'" + username + "'";


  result = s.executeQuery(sql);

 // select hashed_password
  sql_hash = "SELECT " + "hashed_password = " + "crypt(" + "'"
                 + hashed_password + "'" + ","+ "hashed_password)" +
                 " as matched " + "from users_table" +  " where username = "
                 + "'" + username + "'";

 result2 = s2.executeQuery(sql_hash);

  if(result.next())
  {
        System.out.println("You are registered!");
         // ask user to enter password

        System.out.println("Enter your password: ");
        hashed_password = stdin2.next();

        // check to see if username and hashed_password match
        if(result2.next())
        {
           System.out.println("You can proceed!");
        }

        else
        {
           System.exit(0);
        }


  }

Answer 1

要解决此问题，最好使用< code>PrepardStatement并创建单独的函数来检查用户名和密码。

Answer 2

我不打算分析为什么这段代码不起作用，因为由于SQL注入漏洞，它必须从头开始重写。 考虑一下当有人输入此用户名时会发生什么情况：

' or 1=1 or 'x' = '

第一个查询变为：

SELECT username FROM users_table where username = '' or 1=1 or 'x' = '';

第二个查询变为：

 SELECT hashed_password =  crypt('any string', anything) as matched 
 from users where username = '' or 1=1 or 'x' = '';

在这种情况下，两个查询始终返回一些行。 由于您的代码仅检查 resultset.next（） 调用的结果，因此所有检查都将始终通过，并且 ....攻击者登录系统时既不知道用户名也不知道密码。