SQL注入漏洞

Question

像这样的陈述

String query = "SELECT * FROM users WHERE userid ='"+ userid + "'" + " AND password='" + password + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

符合SQL注入条件。但PreparedStatement如何帮助防止SQL注入呢？考虑以下场景：

PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE userid=? AND password=?");
stmt.setString(1, userid);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

如果有人输入userId="abc"和密码="1=1"怎么办，因为这也将被视为有效的字符串...

Answer 1

在第二个例子中，

PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users"
    + " WHERE userid=? AND password=?");
stmt.setString(1, userid);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

如果有人输入userId="abc"和密码="1=1"怎么办，因为这也将被视为有效的字符串...

答案是肯定的，但正确转义的字符串文字。因此，密码必须为1=1才能起作用。需要明确的是，它不受SQL注入的约束，因为这些变量是正确绑定的。

根据准备tatement.set字符串（int， String）Javadoc粗体添加，

将指定参数设置为给定的Java字符串值。驱动程序在将其发送到数据库时将其转换为SQLVARCHAR或LONGVARCHAR值（取决于参数相对于驱动程序对VARCHAR值的限制的大小）。

Answer 2

    String query = "SELECT * FROM users WHERE userid ='"+ userid + "'" + " AND password='" + password + "'";

在这里，如果您试图演示sql注入，密码的值可能类似：“或1=1或“”=”

然后，发送到DB server执行的结果SQL是-

SELECT * FROM users WHERE userid ='abc' AND password='' OR 1=1 OR ''=''

所以它从表中选择所有条目，而不管用户ID和密码是什么，因为用户ID='abc'和密码=''或1=1或'=''始终为真。任何未经授权的人都可以访问所有用户的数据。

在使用参数化准备语句的第二个语句的情况下-

它将在表中搜索userid=“abc”和password=“”或1=1或“”=”的条目

由于准备好的语句是在DB server中预编译的，即首先从userid=？和密码=？将发送到服务器，然后服务器将对其进行编译，然后将数据（参数）分别发送到db（执行时）。JDBC驱动程序将密码='或1=1或'='等数据作为字符串文本发送。然后DB server强制将其用作有效参数，而不是sql查询。

Answer 3

这保护您的确切方式取决于数据库，但有两个明显的选项：

• 数据库驱动程序可以执行字符串插值并生成SQL语句，以确保所有参数都正确转义
• 数据库驱动程序可以完全按照您指定的方式将SQL传递给数据库，并通过一个完全独立的通道传递参数值，而不需要任何转义，因为它只包含值

在我看来，后者是一个更明智的解决方案，因为它允许数据库非常简单地缓存查询计划，认识到除了参数值之外，两个查询完全相同。我希望任何现代数据库都能在其本机通信协议中支持这一点。