我必须在我的 java 程序中添加一条语句来更新数据库表：
String insert =
"INSERT INTO customer(name,address,email) VALUES('" + name + "','" + addre + "','" + email + "');";
我听说这可以通过 SQL 注入来利用，例如：
DROP TABLE customer;
我的程序有一个 Java GUI，所有姓名、地址和电子邮件值都是从 Jtextfields 检索的。我想知道黑客如何将以下代码 (DROP TABLE customer;) 添加到我的插入语句中，以及如何防止这种情况发生。
【问题讨论】：
标签： java mysql sql sql-injection
您可以查看THIS 文章了解相关信息！ :)
我推荐参数化查询：
String selectStatement = "SELECT * FROM User WHERE userId = ? ";
PreparedStatement prepStmt = con.prepareStatement(selectStatement);
prepStmt.setString(1, userId);
ResultSet rs = prepStmt.executeQuery();
【讨论】：
您需要使用PreparedStatement。 例如
String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);";
PreparedStatement ps = connection.prepareStatement(insert);
ps.setString(1, name);
ps.setString(2, addre);
ps.setString(3, email);
ResultSet rs = ps.executeQuery();
这将防止注入攻击。
如果您插入的字符串来自某处的输入，那么黑客将其放入其中的方式 - 例如。网页上的输入字段，或应用程序或类似表单中的输入字段。
【讨论】：
攻击者只需在email 的字段中输入类似'foo@example.com"); DROP TABLE customer; 的内容即可。
您可以通过对 JDBC 语句使用正确的转义来防止这种情况发生。
【讨论】：
这就是为什么你应该在你的字符串语句中使用问号：
PreparedStatement pstmt = con.prepareStatement("UPDATE EMPLOYEES
SET SALARY = ? WHERE ID = ?");
pstmt.setBigDecimal(1, 153833.00)
pstmt.setInt(2, 110592)
引自here
【讨论】：
我想知道这种代码（“DROP TABLE customer;”）如何 被黑客添加到我的插入语句中
例如：
name = "'); DROP TABLE customer; --"
会将这个值生成到插入：
INSERT INTO customer(name,address,email) VALUES(''); DROP TABLE customer; --"','"+addre+"','"+email+"');
我特别想知道如何防止这种情况发生
使用准备好的语句和 SQL 参数（例如来自 Matt Fellows 的“偷来的”）：
String insert = "INSERT INTO customer(name,address,email) VALUES(?, ?, ?);";
PreparedStament ps = connection.prepareStatment(insert);
同时解析这些变量的值，并确保它们不包含任何不允许的字符（例如名称中的“;”）。
【讨论】：
使用 PreparedStatement PreparedStatement 的优点：
SQL 语句的预编译和数据库端缓存可提高整体执行速度，并能够批量重用相同的 SQL 语句。
通过对引号和其他特殊字符的内置转义自动防止 SQL 注入攻击。请注意，这要求您使用任何 PreparedStatement setXxx() 方法来设置值
【讨论】：
正如this post 中所解释的，如果您仍在连接字符串，单独的PreparedStatement 并不能帮助您。
例如，一个流氓攻击者仍然可以执行以下操作：
而且不只是 SQL，如果不使用绑定参数，JPQL 和 HQL 也会受到影响：
PreparedStatement ps = connection.prepareStatement(
INSERT INTO customer(name,address,email) VALUES(?, ?, ?)
);
int index = 0;
ps.setString(++index, name);
ps.setString(++index, address);
ps.setString(++index, email);
ResultSet rs = ps.executeQuery();
最重要的是，在构建 SQL 语句时，您永远不应该使用字符串连接。为此目的使用专用 API：
【讨论】：
尽管所有其他答案都告诉您如何在 Java 中修复 SQL 注入，但 Mukesh Kumar 的回答实际上告诉您谁在实际阻止此类攻击。了解它实际上是防止 SQL 注入攻击的数据库服务器为您作为程序员提供了使用 parametrized 查询的建议。
Refer Here - Preventing SQL Injection Vulnerabilities
Java 程序员不可能清理每个输入字符串，因此 DB 供应商为我们提供了 Prepared Statements 选项，他们告诉我们使用该字符串准备和执行查询，其余的事情将得到处理由数据库供应商提供。
像DROP TABLE customer; 这样激烈的事情可能不会发生，但 SQL 注入的基本前提是没有人应该能够通过提供无效输入（有意或无意）来破坏您的查询。
【讨论】：
您还应该尽可能严格地限制访问数据库的帐户的权限。例如，对于搜索，该帐户只需要对那些需要的表和列具有读取权限。这将防止任何破坏性的 SQL 注入并限制对敏感数据的访问。
【讨论】：