SQL注入——如何在java中使用preparedstatement

Question

我有一个动态构建的 SQL，下面是查询：

private String constructTownSearchQuery(String country, String stateName,String districtName,String townName) {
        StringBuilder statesSearchQuery = new StringBuilder();
        statesSearchQuery.append(" select cntry.countryid,cntry.country,sta.stateid,sta.state,dst.districtid,dst.district,twn.townid,twn.town ");
        statesSearchQuery.append(" from m_countries as cntry,m_states as sta,m_districts as dst,m_towns as twn ");
        statesSearchQuery.append(" where cntry.countryid = sta.countryid ");
        statesSearchQuery.append(" and sta.stateid = dst.stateid ");
        statesSearchQuery.append(" and twn.districtid=dst.districtid ");

        if (!country.equals("")) {
            statesSearchQuery.append(" and cntry.country='").append(country).append("' ");
        }
        if (!stateName.equals("")) {
            statesSearchQuery.append(" and sta.state='").append(stateName).append("'");
        }
        if (!districtName.equals("") ) {
           statesSearchQuery.append(" and dst.district='").append(districtName).append("'");
        }
        if (!townName.equals("") ) {
           statesSearchQuery.append(" and  twn.town='").append(townName).append("'");
        }
        statesSearchQuery.append(" order by cntry.country ");
        return statesSearchQuery.toString();
    }

当我使用这个查询时，它很容易发生 SQL 注入，我被告知使用 PreparedStatement 来避免这种情况。

请建议我如何为此使用preparedStatement。

问候。

Answer 1

当您将 value 参数添加到像 (.append(country)) 这样的查询时，它可以很容易地注入。

例如，如果您将国家/地区传递为"Australia"，这是正常情况，它不会有任何问题，但如果我将国家/地区传递为"a' or '1'='1"，那么它将选择您的所有国家/地区。

在PreparedStatement 中，SQL 语句是预编译的，然后可以使用该对象多次有效地执行该语句，这样您就不会受到 SQL 注入的影响。

更多关于PreparedStatement

String selectStatement = "SELECT * FROM User WHERE userId = ? ";
PreparedStatement prepStmt = con.prepareStatement(selectStatement);
prepStmt.setString(1, userId);
ResultSet rs = prepStmt.executeQuery();

更多关于SQL injection。