Java怎么有效避免SQL注入漏洞

這篇文章主要介紹“Java怎么有效避免SQL注入漏洞”，在日常操作中，相信很多人在Java怎么有效避免SQL注入漏洞問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”Java怎么有效避免SQL注入漏洞”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！

1、簡單又有效的方法是使用PreparedStatement

采用預編譯語句集，它內置了處理SQL注入的能力，只要使用它的setXXX（如：setString）方法傳值即可。

好處：

(1).代碼的可讀性和可維護性變好。

(2).PreparedStatement盡最大可能提高性能。

(3).最重要的一點是極大地提高了安全性。

原理：

SQL注入只對SQL語句的編譯過程有破壞作用，而PreparedStatement的SQL語句編譯階段已經準備好了，執行階段只是把輸入串作為數據處理，而不再對SQL語句進行解析、準備，因此也就避免了SQL注入問題。

一些熱門ORM框架在處理SQL時候也都使用了PreparedStatement，比如MyBatis。

我們在使用MyBatis要注意：在注入參數值得時候使用#{xxx}，#{xxx}已經啟用了預編譯功能，在SQL執行前，會先將上面的SQL發送給數據庫進行編譯；執行時，直接使用編譯好的SQL，替換占位符“?”就可以了。因為SQL注入只能對編譯過程起作用，所以這樣的方式就很好地避免了SQL注入的問題。

“${xxx}”這樣格式的參數會直接參與SQL編譯，從而不能避免注入攻擊。

有時有些操作要使用這種方式，比如傳入表，模糊匹配等。這時可以使用bind+#{}防止SQL注入（#{}進行預編譯，傳遞的參數不進行編譯，只作為參數，相當于PreparedStatement）。

bind元素可以從OGNL表達式中創建一個變量并將其綁定到上下文。比如：

<select id="selectBlog" resultType="Blog">
<bind name="pattern" value="'%' + _parameter.getTitle() + '%'" />
SELECT * FROM BLOG WHERE title LIKE #{pattern}
</select>

2、使用過濾器

如果我們做不到所有的SQL語句都使用PreparedStatement，我們可以使用過濾器，進行全局的攔截這些字符串。在過濾器中，使用正則表達式過濾傳入的參數。使用正則表達式，判斷是否匹配：

String begin="您的請求參數信息";
 
//可以通過配置文件，去配置這些特殊字符，以便隨時添加一些關鍵字。
String pattern="|and|exec|execute|insert|select|delete|update|count|drop|*|%|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|;|or|-|+|,|like";
 
Pattern r = Pattern.compile(pattern);
Matcher isMatch = r.matcher(begin);
if(isMatch.find()){
    //危險請求參數
}

防止sql注入的一些建議

1. 代碼層防止sql注入攻擊的最佳方案就是sql預編譯

public List<Course> orderList(String studentId){
    String sql = "select id,course_id,student_id,status from course where student_id = ?";
    return jdbcTemplate.query(sql,new Object[]{studentId},new BeanPropertyRowMapper(Course.class));
}

這樣我們傳進來的參數 4 or 1 = 1就會被當作是一個student_id，所以就不會出現sql注入了。

2. 確認每種數據的類型，比如是數字，數據庫則必須使用int類型來存儲

3. 規定數據長度，能在一定程度上防止sql注入

4. 嚴格限制數據庫權限，能最大程度減少sql注入的危害

5. 避免直接響應一些sql異常信息，sql發生異常后，自定義異常進行響應

6. 過濾參數中含有的一些數據庫關鍵詞

到此，關于“Java怎么有效避免SQL注入漏洞”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續學習更多相關知識，請繼續關注億速云網站，小編會繼續努力為大家帶來更多實用的文章！