当前位置：文江博客话题详情

Spring JDBC 是否提供任何针对 SQL 注入攻击的保护？

发布于 2024-12-02 03:49:23 字数 369 浏览 2 评论 0原文

Spring 的 JdbcTemplate 抽象提供了很多功能，但是它的使用方式是否可以提供针对 SQL 注入攻击的保护？

例如，就像使用 PreparedStatement 和正确定义的参数化所获得的保护一样。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

醉态萌生 2024-12-09 03:49:23

确实如此。这个例子直接来自 Spring 3.0 文档（但在 2.* 中是相同的）：

String lastName = this.jdbcTemplate.queryForObject( 
        "select last_name from t_actor where id = ?", 
        String.class, 1212L);

正如您所看到的，它强烈支持准备好的语句（它必须在幕后为您使用）：您可以使用占位符 (?) 指定参数，并提供一个对象数组来填充参数。（最后一个参数是预期结果的类型，但这与这个问题不太相关。）

您还可以使用 NamedParameterJdbcTemplate 并在 Map 中提供参数，这可能效率较低，但绝对更容易记忆。

It most certainly does. This example is straight from the Spring 3.0 docs (but is the same in 2.*):

String lastName = this.jdbcTemplate.queryForObject( 
        "select last_name from t_actor where id = ?", 
        String.class, 1212L);

As you can see, it strongly favors prepared statements (which it must be using behind the scenes for you): you specify the parameters with placeholders (?) and supply an array of objects to fill into the parameters. (The last parameter is the type of the expected result, but that's not very relevant for this question.)

You can also use a NamedParameterJdbcTemplate and supply the parameters in a Map, which is perhaps less efficient but definitely more mnemonic.

回复收藏 0 原文

~没有更多了~