Java如何防止SQL注入 Java预编译语句与参数化查询实践

Java防止SQL注入的核心方法是使用预编译语句（PreparedStatement）和参数化查询，其原理是通过分离SQL逻辑与用户输入，避免恶意代码被解析执行。以下是具体实践指南：

一、SQL注入的原理与危害

SQL注入是攻击者通过在输入中插入恶意SQL代码，欺骗系统执行非预期的数据库操作。例如：

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1'

若代码直接拼接用户输入：

String query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

攻击者可通过输入admin' --或' OR '1'='1绕过验证，导致数据泄露或破坏。

二、为什么使用预编译语句（PreparedStatement）

Java的PreparedStatement通过以下机制防止注入：

SQL与参数分离：SQL语句提前定义，用户输入仅作为参数传入，不会被解析为SQL逻辑。
自动转义特殊字符：无需手动处理单引号、分号等字符，底层自动转义。
性能优化：数据库缓存预编译语句的执行计划，重复执行时效率更高。

三、参数化查询的正确实践1. 使用占位符?替代直接拼接String sql = "SELECT * FROM users WHERE username = ? AND password = ?";try (PreparedStatement pstmt = connection.prepareStatement(sql)) { pstmt.setString(1, username); // 按顺序设置参数 pstmt.setString(2, password); ResultSet rs = pstmt.executeQuery(); // 处理结果集...}

关键点：
占位符?仅用于值的位置，不可用于表名、列名或SQL关键字。
使用setString()、setInt()等方法确保类型安全。

2. 避免动态拼接SQL

错误示例（易引发注入）：

// 危险！拼接IN条件String ids = "1,2,3";String sql = "WHERE id IN (" + ids + ")"; // 攻击者可输入"1); DROP TABLE users--"

正确做法：

使用循环设置多个占位符：String sql = "WHERE id IN (?, ?, ?)";pstmt.setInt(1, 1); pstmt.setInt(2, 2); pstmt.setInt(3, 3);
或使用ORM框架的批量操作功能。

四、常见误区与替代方案1. 字符串过滤的局限性

问题：手动替换单引号为双引号（如input.replace("'", "''")）容易遗漏或误判，且无法应对复杂攻击。
结论：不推荐作为主要防御手段。

2. ORM框架的默认安全

Hibernate/MyBatis：默认使用预编译语句，但需注意：
MyBatis中应使用#{}而非${}：<select id="getUser" resultType="User"> SELECT * FROM users WHERE id = #{id}</select><select id="getUser" resultType="User"> SELECT * FROM ${tableName} WHERE id = ${id}</select>
JPA Criteria API：提供类型安全的动态查询构建。

3. 动态SQL的替代方案

条件构建器：
JPA的CriteriaBuilder：CriteriaBuilder cb = entityManager.getCriteriaBuilder();CriteriaQuery<User> query = cb.createQuery(User.class);Root<User> user = query.from(User.class);query.select(user).where(cb.equal(user.get("username"), username));
MyBatis的动态SQL标签（如<if>、<foreach>）：<select id="searchUsers" resultType="User"> SELECT * FROM users <where> <if test="username != null">AND username = #{username}</if> <if test="status != null">AND status = #{status}</if> </where></select>

五、最佳实践总结

永远使用参数化查询：无论是直接使用PreparedStatement还是ORM框架，避免拼接用户输入。
限制数据库权限：应用账号仅授予最小必要权限（如仅SELECT权限）。
输入验证：对用户输入进行格式校验（如邮箱、手机号格式），但不可替代参数化查询。
日志与监控：记录异常SQL查询，及时发现潜在攻击。
定期安全测试：通过渗透测试验证防御效果。

通过遵循上述实践，可有效防范SQL注入攻击，保障应用安全。

您可能感兴趣问答

Collapsible

热门标签

热点问答