通过 jdbc 更改用户密码。包含问号的通行证问题

Question

当密码包含问号字符时，我在更改用户密码时遇到问题。到目前为止，我没有遇到任何其他字符的这个问题，它似乎是问号字符特有的。

如果我使用以下 sql 在 sqlplus 中更改用户密码：
Alter user Stephen identifed by "NewPassword?" REPLACE "OldPassword";
然后它成功更改了密码，我可以使用新密码“NewPassword？”登录。

但是，如果我通过 jdbc 执行相同的 SQL：
final String query = "ALTER user Stephen identified by \"NewPassword?\" REPLACE \"OldPassword\"";
stmt.executeUpdate(query);
然后我无法使用通行证“NewPassword？”登录。

通过 sqlplus 和 jdbc 输入时检查密码的哈希码表明它们是不同的。 不知何故，当我在 jdbc 中运行该语句时，它输入的不是 'NewPassword?'。

我似乎对以下密码没有任何问题： 新密码，新密码\，新密码'。这似乎只是导致问题的问号。
调试显示问号的代码点 (dec) 为 63，因此它看起来不像中途更改。

有谁知道是什么导致了这种行为？ 我现在很茫然，我正在考虑阻止带问号的通过来绕过这个问题。

Answer 1

尝试使用PreparedStatement 来实现它，看看是否会遇到同样的问题。问号在PreparedStatements 中用作占位符，因此可能是 JDBC 驱动程序感到困惑。它不应该，但可能值得检查。

PreparedStatement p = conn.prepareStatement("ALTER user Stephen identified by ? replace ?");
p.setString(1, "NewPassword?");
p.setString(2, "OldPassword");
p.execute();

如果这可行，那么它可能是驱动程序中的一个错误。

Answer 2

要使用 JDBC 更改 Oracle 用户的密码，您需要做两件事：

• 将密码直接放在SQL字符串中（不能使用绑定参数），
• 禁用转义处理。

您不能使用绑定变量，因为用户名和密码不会作为单引号字符串发送到数据库。

SQL 字符串中的? 被用作绑定变量占位符，因此，Oracle JDBC 有时会破坏 SQL 字符串。禁用语句上的转义处理可以防止这种情况发生。试试：

Statement s = conn.createStatement();
s.setEscapeProcessing(false);
s.executeUpdate("ALTER user Stephen identified by \"newPassword?\" replace \"oldPassword\"");

如果您以编程方式设置密码，您的代码还应确保新密码和旧密码不包含任何 " 字符，以避免 SQL 注入。