如何避免SQL注入攻击？

🐓序言

当涉及到数据库操作时，防止SQL注入攻击至关重要。SQL注入是一种常见的网络安全威胁，攻击者通过在用户输入中插入恶意的SQL代码，从而可以执行未经授权的数据库操作。

🐓避免方式

使用参数化查询

使用参数化查询可以防止SQL注入攻击，并提高代码的可读性和可维护性。

在Java中，可以使用PreparedStatement来实现参数化查询。通过设置占位符（例如?）并使用setString()等方法设置参数值，可以避免SQL注入攻击。

import java.sql.*;
 public class Example {
    public static void main(String[] args) {
        Connection conn = null;
        PreparedStatement stmt = null;
        ResultSet rs = null;
         try {
            // 连接到数据库
            conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/database", "username", "password");
             // 创建PreparedStatement对象
            String query = "SELECT * FROM users WHERE username = ? AND password = ?";
            stmt = conn.prepareStatement(query);
             // 设置参数值
            String username = "账号";
            String password = "密码";
            stmt.setString(1, username);
            stmt.setString(2, password);
             // 执行查询
            rs = stmt.executeQuery();
             // 处理查询结果
            while (rs.next()) {
                // 获取每一行数据
                int id = rs.getInt("id");
                String name = rs.getString("name");
                 // 打印数据
                System.out.println("ID: " + id + ", Name: " + name);
            }
        } catch (SQLException e) {
            e.printStackTrace();
        } finally {
            // 关闭ResultSet、PreparedStatement和Connection
            if (rs != null) {
                try {
                    rs.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
            if (stmt != null) {
                try {
                    stmt.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
            if (conn != null) {
                try {
                    conn.close();
                } catch (SQLException e) {
                    e.printStackTrace();
                }
            }
        }
    }
}

输入验证和过滤

对应用程序中的所有输入数据进行验证和过滤，以确保它们是有效和合法的。

使用正则表达式、内置的输入验证方法（如isDigit()、isLetter()、isWhitespace()）等来实现输入验证和过滤。

import java.util.regex.Pattern;
import java.util.regex.Matcher;
 public class Example {
    public static void main(String[] args) {
        String input = "example123";
         // 使用正则表达式进行验证
        String pattern = "^[a-zA-Z0-9]+$";
        boolean isValid = Pattern.matches(pattern, input);
         if (isValid) {
            System.out.println("匹配成功");
        } else {
            System.out.println("匹配失败);
        }
    }
}

使用存储过程

存储过程是一组预定义的SQL语句集合，可以在数据库中进行重复性和复杂性的操作。

在Java中，可以使用JDBC来调用和执行存储过程

import java.sql.*;
 public class Example {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydatabase";
        String username = "root";
        String password = "password";
         try (Connection conn = DriverManager.getConnection(url, username, password)) {
            // 创建CallableStatement对象来调用存储过程
            CallableStatement stmt = conn.prepareCall("{call my_stored_procedure(?, ?)}");
             // 设置输入参数
            stmt.setInt(1, 10);
             // 注册输出参数
            stmt.registerOutParameter(2, Types.INTEGER);
             // 执行存储过程
            stmt.execute();
             // 获取输出参数的值
            int result = stmt.getInt(2);
            System.out.println("存储过程返回值：" + result);
         } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

最小权限原则

为数据库用户分配最小必需的权限，避免使用超级用户权限。

import java.sql.*;
 public class Example {
    public static void main(String[] args) {     
        String url = "jdbc:mysql://localhost:3306/mydatabase";
        String username = "root";
        String password = "password";
         try (Connection conn = DriverManager.getConnection(url, username, password)) {
            // 创建Statement对象
            Statement stmt = conn.createStatement();
             // 创建用户并授予最小权限
            String createUserQuery = "CREATE USER 'limiteduser'@'localhost' IDENTIFIED BY 'password'";
            stmt.executeUpdate(createUserQuery);
             String grantQuery = "GRANT SELECT, INSERT ON mydatabase.* TO 'limiteduser'@'localhost'";
            stmt.executeUpdate(grantQuery);
             System.out.println("用户已创建并授予最小权限");
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

避免动态拼接SQL语句

不要直接将用户输入拼接到SQL语句中，而是使用参数化查询或其他安全的方案

String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
ResultSet resultSet = statement.executeQuery();