JDBC学习（一）--------SQL注入

本是古典何须时尚 2024-02-19 21:35 40阅读 0赞

一、JDBC的开发步骤  
1.注册驱动  
2.获得连接  
3.获得语句执行者  
4.执行sql语句  
5.处理结果  
’  
二、导入驱动jar包  
1.创建lib目录，用于存放项目所需要的jar包。选中jar包，复制粘贴即可。  
2.选择lib目录下的jar包，右键执行build path—Add to Build Path。

三、API详解，注册驱动  
代码：Class.forName(“com.mysql.jdbc.Driver”);  
1.JDBC规范定义驱动接口：java.sql.Driver；  
MySql驱动包提供了实现类：com.mysql.jdbc.Driver。

注意：只有在此时用的是jdbc下的包，以后导入包都选择sql包。

测试sql注入问题：  
在进行sql语句注入时，如果存在sql语句的拼接，则不能够使用Statement stmt=conn.createStatement();此时会产生一个漏洞，用户可以通过输入特殊字符组成的字符串直接访问到数据库中。如login犯法。使用PreparedStatement方法则不会产生这种问题，因为PreparedStatement会对用户输入的内容进行预编译处理。  
有很多中方法能够对应sql拼接产生的漏洞，这里的方法是现在接触中最为简单。  
数据库中username=‘zs’，upassword=‘zs’。  
当使用login方法时，由字符拼接的方式，此时用户输入zs’ or 'zs，仍然能够成功的在数据共查找到。  
但是使用login1方法，就不能够通过查找。

import java.sql.Connection;
    import java.sql.DriverManager;
    import java.sql.PreparedStatement;
    import java.sql.ResultSet;
    import java.sql.SQLException;
    import java.sql.Statement;
    
    import org.junit.Test;
    
    public class TestLogin {
    	@Test
    	public void testLogin(){
    		try {
    			login1("zs' or 'zs","zs");
    		} catch (Exception e) {
    			// TODO Auto-generated catch block
    			e.printStackTrace();
    		} 
    	}
    //	用户登录方法
    	private void login(String username,String password) throws ClassNotFoundException, SQLException {
    //		1.注册驱动
    		Class.forName("com.mysql.jdbc.Driver");
    //		2.获取连接
    		Connection conn=DriverManager.getConnection("jdbc:mysql://localhost:3306/chatroom","root","root");
    //		3.创建执行sql语句的对象
    		Statement stmt=conn.createStatement();
    //		4.书写一个sql语句
    		String sql="select * from tbl_user where "+"uname='"+username+"' and upassword='"+password+"'";
    //		5.执行sql语句
    		ResultSet rs= stmt.executeQuery(sql);
    //		6.对结果集进行处理
    		if(rs.next()){
    			System.out.println("恭喜您："+username+"！登陆成功");
    			System.out.println(sql);
    		}else{
    			System.out.println("账号或输入密码错误");
    		}
    		if(rs!=null){
    			rs.close();
    		}
    		if(stmt!=null){
    			stmt.close();
    		}
    		if(conn!=null){
    			conn.close();
    		}
    	}
    	public void login1(String username,String password) throws ClassNotFoundException, SQLException{
    //		1.注册驱动
    		Class.forName("com.mysql.jdbc.Driver");
    //		2.获取连接
    		Connection conn=DriverManager.getConnection("jdbc:mysql://localhost:3306/chatroom","root","root");
    //		3.编写sql语句
    		String sql ="select * from tbl_user where uname=? and upassword=?";
    //		4.创建预处理对象
    		PreparedStatement pr= conn.prepareStatement(sql);
    //		5.设置参数（给占位符）
    		pr.setString(1,username);
    		pr.setString(2, password);
    //		6.执行查询操作
    		ResultSet rs=pr.executeQuery();
    		if(rs.next()){
    			System.out.println("恭喜您："+username+"！登陆成功");
    			System.out.println(sql);
    		}else{
    			System.out.println("账号或输入密码错误");
    		}
    		if(rs!=null){
    			rs.close();
    		}
    		if(pr!=null){
    			pr.close();
    		}
    		if(conn!=null){
    			conn.close();
    		}
    	}
    	
    }