jsp中防止sql注入的一些基本预防措施
一、啥是sql注入
所谓sql注入简单说就是被人钻了SQL的空子下面举个最简单的例子。
sql 为："select * from users where username='"+userName+"' and password='"+password+"' "
1、攻击者只要在传入的userName加上'--上面的sql便将username='"+userName+"' 后面的条件全部注释掉。直接验证通过。
2、甚至攻击者只要传入 ' or 1=1 -- 道理也是一样的。
3、sql注入原理推荐个文章，里面有介绍。http://www.nosec.org/2009/0918/59.html
二、解决方法： 过滤掉用户输入中的危险字符
1、第一种采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setString方法传值即可：
String sql= "select * from users where username=? and password=?;
PreparedStatement preState = conn.prepareStatement(sql);
preState.setString(1, userName);
preState.setString(2, password);
ResultSet rs = preState.executeQuery();
2、将传入的字符串做过滤.replaceAll(".*([';]+|(--)+).*", " ");
3、js验证：通过js过滤掉客户端提交上来的字符（现在绕过js验证的方法太多不建议采用）
function IsValid( oField ){
re= /select|update|delete|exec|count|'|"|=|;|>|<|%/i;
$sMsg = "请您不要在参数中输入特殊字符和SQL关键字！"
if ( re.test(oField.value) )
{
alert( $sMsg );
oField.value = '';
oField.focus();
return false;
}
说明:以上文章大部分来参考网络资料。整理后方便自己的查阅和学习。
相关文档：
近日，俺通过MS SQL Server 2008的链接服务器查询MySQL的数据。其实，俺在多年前就使用过这个，当时是分布式查询Excel表数据，现在，换成异构数据库MySQL。俺以64位系统说明：
首先，Windows程序访问MySQL数据库需要驱动程序，可以到官方网站下载，俺就是使用Mysql ODBC 5.1 Driver for 64bit，通过数 ......
SQL Server 2000的安全配置在进行SQL Server 2000数据库的安全配置之前，首先必须对操作系统进行安全配置，保证操作系统处于安全状态。然后对要使用的操作数据库软件(程序)进行必要的安全审核，比如对ASP、PHP等脚本，这是很多基于数据库的Web应用常出现的安全隐患，对于脚本主要是一个过滤问题，需要过滤一些类似&ld ......
项目背景
移植一个现有系统到Oracle。原系统基于.Net Framework 1.1, SQL Server 2000数据库，数据操作基本全部使用Store Procedure，总数逾千，因此总体涉及的PL SQL 开发量比较大。
优先级高，开发时程短� ......
【文章标题】编写
SQL
查询的关键—
SQL
语句的执行顺序
【文章作者】曾健生
【作者邮箱】
zengjiansheng1@126.com
【作者
QQ
】
190678908
【作者
MSN
】
zengjiansheng1@hotmail.com
【作者博客】
blog.csdn.net/newjueqi
*********************************************************** ......
