jsp中防止sql注入的一些基本预防措施
一、啥是sql注入
所谓sql注入简单说就是被人钻了SQL的空子下面举个最简单的例子。
sql 为："select * from users where username='"+userName+"' and password='"+password+"' "
1、攻击者只要在传入的userName加上'--上面的sql便将username='"+userName+"' 后面的条件全部注释掉。直接验证通过。
2、甚至攻击者只要传入 ' or 1=1 -- 道理也是一样的。
3、sql注入原理推荐个文章，里面有介绍。http://www.nosec.org/2009/0918/59.html
二、解决方法： 过滤掉用户输入中的危险字符
1、第一种采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setString方法传值即可：
String sql= "select * from users where username=? and password=?;
PreparedStatement preState = conn.prepareStatement(sql);
preState.setString(1, userName);
preState.setString(2, password);
ResultSet rs = preState.executeQuery();
2、将传入的字符串做过滤.replaceAll(".*([';]+|(--)+).*", " ");
3、js验证：通过js过滤掉客户端提交上来的字符（现在绕过js验证的方法太多不建议采用）
function IsValid( oField ){
re= /select|update|delete|exec|count|'|"|=|;|>|<|%/i;
$sMsg = "请您不要在参数中输入特殊字符和SQL关键字！"
if ( re.test(oField.value) )
{
alert( $sMsg );
oField.value = '';
oField.focus();
return false;
}
说明:以上文章大部分来参考网络资料。整理后方便自己的查阅和学习。
相关文档：
1. 静态页面的乱码问题
文件的编码和浏览器要显示的编码不一致。
1) 检查文件原始的编码, 可以用记事本打开, 然后选择另存为来看;
2) 给当前页面加入一个指令来建议浏览器用指定的编码来显示文件字符内容.
<meta http-equiv="content-type" content="text/html; charset=GBK">
3) 如果系统是英文XP,没装东亚字 ......
一、关于CREATE TABLE tab1 (字段名 TEXT)中，字段名为“a.a.a或a.a.b”时，提示：
“字段定义语法错误”
答：在字段名字外面加上“[ ]”就可以了！
二、创建一个以ListCtrl第一列为EXCEL第一行的表结构 和 插入一个以ListCtrl第N列为EXCEL第二行的表结构
......
远程链接服务器详细配置
--
建立连接服务器
EXEC
sp_addlinkedserver
'
远程服务器IP
'
,
'
SQL Server
'
--
标注存储
EXEC
sp_addlinkedserver
@server
=
'
server
'
,
--
链接服务器的本地名称。也允许使用实例名称，例如MYSERVER\SQL1
@srvproduct
=
'
product_name
......
项目背景
移植一个现有系统到Oracle。原系统基于.Net Framework 1.1, SQL Server 2000数据库，数据操作基本全部使用Store Procedure，总数逾千，因此总体涉及的PL SQL 开发量比较大。
优先级高，开发时程短� ......
本文是一个技巧文章,介绍SQL根据已知的年月,计算该月的天数.
本文是一个技巧文章,介绍SQL根据已知的年月,计算该月的天数.
declare @iDays int
declare @dt varchar(50)
set @dt=@Year+'-'+@Month+'-01'
select @iDays=day(dateadd( ......
