如何保护自己免受动态查询中的 SQL 注入？

发布于 2024-11-14 18:22:42 字数 222 浏览 3 评论 0原文

我的应用程序获取对数据库的字符串对象查询。例如，字符串查询 = EMAIL（如“% test%”）和 USER_NAME（如“% user%”）。该查询是动态构建的，我不知道它的结构，因此我无法利用 PrepareStatement。有谁知道在这种情况下防止 SQL 注入的方法吗？

数据库：Oracle
语言：Java 1.6

请帮忙。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

巡山小妖精 2024-11-21 18:22:42

即使您不知道其结构，也可以使用 PreparedStatement。让我用一个简单的例子来演示：

List<Object> arguments = new ArrayList<Object>();
String sql = "SELECT * FROM user WHERE someCondition = ?";
if (queryOnEmail) {
  sql = sql + " AND email LIKE ?";
  arguments.add(email);
}
if (queryOnUserName) {
  sql = sql + " AND user_name LIKE ?";
  arguments.add(userName);
}
PreparedStatement stmt = con.prepareStatement(sql);
int i = 1;
for(Object o : arguments) {
  stmt.setObject(i, o);
  i++;
}

当然，您可以将这个 SQL + 参数构造包装到它自己的类中以简化其使用。

Even if you do not know the structure, you can use a PreparedStatement. Let me demonstrate with a simple example:

List<Object> arguments = new ArrayList<Object>();
String sql = "SELECT * FROM user WHERE someCondition = ?";
if (queryOnEmail) {
  sql = sql + " AND email LIKE ?";
  arguments.add(email);
}
if (queryOnUserName) {
  sql = sql + " AND user_name LIKE ?";
  arguments.add(userName);
}
PreparedStatement stmt = con.prepareStatement(sql);
int i = 1;
for(Object o : arguments) {
  stmt.setObject(i, o);
  i++;
}

Of course you can wrap this SQL + arguments construct into its own class to simplify its usage.

回复收藏 0 原文