JDBC第二天：防sql攻击

1　什么是SQL攻击

在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！例如用户在登录时输入的用户名和密码都是为SQL语句的片段！

2　演示SQL攻击

首先我们需要创建一张用户表，用来存储用户的信息。

CREATE TABLE user(

uid CHAR(32) PRIMARY KEY,

username VARCHAR(30) UNIQUE KEY NOT NULL,

PASSWORD VARCHAR(30)

);

INSERT INTO user VALUES('U_1001', 'zs', 'zs');

SELECT * FROM user;

现在用户表中只有一行记录，就是zs。

下面我们写一个login()方法！

public void login(String username, String password) {

Connection con = null;

Statement stmt = null;

ResultSet rs = null;

try {

con = JdbcUtils.getConnection();

stmt = con.createStatement();

String sql = "SELECT * FROM user WHERE " +

"username='" + username +

"' and password='" + password + "'";

rs = stmt.executeQuery(sql);

if(rs.next()) {

System.out.println("欢迎" + rs.getString("username"));

} else {

System.out.println("用户名或密码错误！");

}

} catch (Exception e) {

throw new RuntimeException(e);

} finally {

JdbcUtils.close(con, stmt, rs);

}

}

下面是调用这个方法的代码：

login("a' or 'a'='a", "a' or 'a'='a");

这行当前会使我们登录成功！因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！我们来看看组合在一起的SQL语句：

SELECT * FROM tab_user WHERE username='a' or 'a'='a' and password='a' or 'a'='a'

3　防止SQL攻击

1. 过滤用户输入的数据中是否包含非法字符；
2. 分步交验！先使用用户名来查询用户，如果查找到了，再比较密码；
3. 使用PreparedStatement。

4 PreparedStatement是什么？

PreparedStatement叫预编译声明！

PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。

PreparedStatement的好处：

1. 防止SQL攻击；
2. 提高代码的可读性，以可维护性；
3. 提高效率。

5 PreparedStatement的使用

1. 使用Connection的prepareStatement(String sql)：即创建它时就让它与一条SQL模板绑定；
2. 调用PreparedStatement的setXXX()系列方法为问号设置值
3. 调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；

String sql = “select * from tab_student where s_number=?”;

PreparedStatement pstmt = con.prepareStatement(sql);

pstmt.setString(1, “S_1001”);

ResultSet rs = pstmt.executeQuery();

rs.close();

pstmt.clearParameters();

pstmt.setString(1, “S_1002”);

rs = pstmt.executeQuery();

在使用Connection创建PreparedStatement对象时需要给出一个SQL模板，所谓SQL模板就是有“?”的SQL语句，其中“?”就是参数。

在得到PreparedStatement对象后，调用它的setXXX()方法为“?”赋值，这样就可以得到把模板变成一条完整的SQL语句，然后再调用PreparedStatement对象的executeQuery()方法获取ResultSet对象。

注意PreparedStatement对象独有的executeQuery()方法是没有参数的，而Statement的executeQuery()是需要参数（SQL语句）的。因为在创建PreparedStatement对象时已经让它与一条SQL模板绑定在一起了，所以在调用它的executeQuery()和executeUpdate()方法时就不再需要参数了。

PreparedStatement最大的好处就是在于重复使用同一模板，给予其不同的参数来重复的使用它。这才是真正提高效率的原因。

所以，建议大家在今后的开发中，无论什么情况，都去需要PreparedStatement，而不是使用Statement。

package cn.itcast.demo3;

import java.io.IOException;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import org.junit.Test;

/**
 * PreapredStatement
 * 防SQL攻击
 * @author cxf
 *
 */
public class Demo3 {
	/**
	 * 登录
	 * 使用username和password去查询数据
	 * 若查出结果集，说明正确！返回true
	 * 若查出不出结果，说明用户名或密码错误，返回false
	 * @param username
	 * @param password
	 * @return
	 * @throws Exception
	 */
	public boolean login(String username, String password) throws Exception {
		/*
		 * 一、得到Connection
		 * 二、得到Statement
		 * 三、得到ResultSet
		 * 四、rs.next()返回的是什么，我们就返回什么
		 */
		// 准备四大参数
		String driverClassName = "com.mysql.jdbc.Driver";
		String url = "jdbc:mysql://localhost:3306/mydb3";
		String mysqlUsername = "root";
		String mysqlPassword = "123";
		// 加载驱动类
		Class.forName(driverClassName);
		// 得到Connection
		Connection con = DriverManager.getConnection(url, mysqlUsername, mysqlPassword);

		// 得到Statement
		Statement stmt = con.createStatement();

		// 给出sql语句，调用stmt的executeQuery()，得到ResultSet
		String sql = "select * from t_user where username='" + username + "' and password='" + password + "'";
System.out.println(sql);
		ResultSet rs = stmt.executeQuery(sql);

		return rs.next();
	}

	/**
	 * SQL攻击!
	 * @throws Exception
	 */
	@Test
	public void fun1() throws Exception {
		//select * from t_user where username='a' or 'a'='a' and password='a' or 'a'='a'
		String username = "a' or 'a'='a";
		String password = "a' or 'a'='a";
		boolean bool = login(username, password);
		System.out.println(bool);
	}

	public boolean login2(String username, String password) throws Exception {
		/*
		 * 一、得到Connection
		 * 二、得到Statement
		 * 三、得到ResultSet
		 * 四、rs.next()返回的是什么，我们就返回什么
		 */
		// 准备四大参数
		String driverClassName = "com.mysql.jdbc.Driver";
		String url = "jdbc:mysql://localhost:3306/mydb3?useServerPrepStmts=true&cachePrepStmts=true";
		String mysqlUsername = "root";
		String mysqlPassword = "123";
		// 加载驱动类
		Class.forName(driverClassName);
		// 得到Connection
		Connection con = DriverManager.getConnection(url, mysqlUsername, mysqlPassword);

		///
		///

		/*
		 * 一、得到PreparedStatement
		 * 1. 给出sql模板：所有的参数使用?来替代
		 * 2. 调用Connection方法，得到PreparedStatement
		 */
		String sql = "select * from t_user where username=? and password=?";
		PreparedStatement pstmt = con.prepareStatement(sql);

		/*
		 * 二、为参数赋值
		 */
		pstmt.setString(1, username);//给第1个问号赋值，值为username
		pstmt.setString(2, password);//给第2个问号赋值，值为password

		ResultSet rs = pstmt.executeQuery();//调用查询方法，向数据库发送查询语句

		pstmt.setString(1, "liSi");
		pstmt.setString(2, "123");

		pstmt.executeQuery();

		return rs.next();
	}

	@Test
	public void fun2() throws Exception {
		//select * from t_user where username='a' or 'a'='a' and password='a' or 'a'='a'
		String username = "zhangSan";
		String password = "123";
		boolean bool = login2(username, password);
		System.out.println(bool);
	}

	/**
	 * 测试JdbcUtils.getConnection()
	 * @throws SQLException
	 * @throws ClassNotFoundException
	 * @throws IOException
	 */
	@Test
	public void fun3() throws SQLException {
		Connection con = JdbcUtils.getConnection();
		System.out.println(con);
		Connection con1 = JdbcUtils.getConnection();
		System.out.println(con1);
	}
}