Jdbc学习笔记（四）--PreparedStatement对象、sql攻击（安全问题）

（一）使用PreparedStatement对象的原因：

使用Statement对象编写sql语句会遇到的问题

编辑（二）sql攻击

1.什么是sql攻击

2.演示sql攻击

（三）防止SQL攻击

1.PreparedStatement是什么

2. PreparedStatement的使用

编辑 3.总结：

（一）使用PreparedStatement对象的原因：

使用Statement对象编写sql语句会遇到的问题

使用Statement对象编写sql语句，都是拼接sql

问题：

可读性差
编写复杂，容易出错
安全问题，sql攻击（sql注入） 最大问题，系统会被攻破

（二）sql攻击

1.什么是sql攻击

在需要用户输入的地方，用户输入的是SQL语句的片段，最终用户输入的SQL片段与我们DAO中写的SQL语句合成一个完整的SQL语句！例如用户在登录时输入的用户名和密码都是为SQL语句的片段！

2.演示sql攻击

首先我们需要创建一张用户表，并插入数据，用来存储用户的信息

下面我们写一个login()方法！

public static boolean login(String username, String password) {
    Connection conn=null;
    Statement stmt=null;
    ResultSet rs=null;
    try {
        Class.forName("com.mysql.jdbc.Driver");
        conn= DriverManager.getConnection("jdbc:mysql://localhost:3306/esa?useSSL=false","root","123456");
        String sql="select count(1) num from user where username='"+username+"' and password='"+password+"'";
        System.out.println(sql);
        stmt=conn.createStatement();
        rs=stmt.executeQuery(sql);
        rs.next();
        int count=rs.getInt(1);
        return count >= 1;
    } catch (ClassNotFoundException e) {
        throw new RuntimeException(e);
    }catch (SQLException e) {
        throw new RuntimeException(e);
    } finally {
        try{
            if (rs!=null) rs.close();
            if (stmt!=null) stmt.close();
            if (conn!=null) conn.close();
        } catch (SQLException e) {
            throw new RuntimeException(e);
        }
    }
}

细节：

throw new RuntimeException(e); 不能写成e.printStackTrace()，不然会报错，无法运行

e.printStackTrace( )是打印异常栈信息

throw new RuntimeException(e)是把异常包在一个运行时异常中抛出。

因为return count >= 1，系统会无法识别return的是一个什么值，会显示缺少return语句;

下面是调用这个方法的代码：

login("a' or '1'='1", "b' or '1'='1");

控制台输出登陆成功，因为是输入的用户名和密码是SQL语句片段，最终与我们的login()方法中的SQL语句组合在一起！我们来看看组合在一起的SQL语句：

select count(1) from tb_user where username = 'a' or '1'='1' and password='b' or '1'='1'

因为 'a' or '1 = 1'这个语句，or作为关键字只要有一边返回的是true那么这个整体的值就是true，右边始终返回true，所以不管左边是否正确，这个值永远是true，那么就很容易被别人登录进去，从而造成安全问题。

（三）防止SQL攻击

jdk中提供一个Statement的子接口，java.sql.PreparedStatement

Statement在创建时不需要传sql语句，而是把sql语句拼接起来，发送给mysql服务器

PreparedStatement是预编译的Statement，可以使用占位符?，给值占位

1.PreparedStatement是什么

PreparedStatement叫预编译声明！

什么是预编译：在sql语句执行之前，要先进行两个步骤，sql编译和sql语法分析，在语句第一遍执行完毕以后，PreparedStatement会将预编译结果保存下来，在一下遇到相同的sql语句时，就不需要再重新进行一遍这三个步骤，可以跳过前两个，这也是为什么效率提高了的原因

PreparedStatement是Statement的子接口，你可以使用PreparedStatement来替换Statement。

PreparedStatement的好处：

防止SQL攻击；

提高代码的可读性，以可维护性；

提高效率。

2. PreparedStatement的使用

使用Connection的prepareStatement(String sql)：即创建它时就让它与一条SQL模板绑定；

调用PreparedStatement的setXXX()系列方法为问号设置值

调用executeUpdate()或executeQuery()方法，但要注意，调用没有参数的方法；

接下来我们来进行演示：

对之前的代码进行修改：

1.将拼接的username和password换成?

2.创建PreparedStatement对象，将Statement改成PreparedStatement

3.因为PreparedStatement的executeQuery()和executeUpdate()方法是无参的，所以要将括号中的sql删除

4.给?赋值

PreparedStatement提供了一组setXxx(int 问号的索引,值)方法，问号索引从1开始

如果不知道列的数据类型，有一个通用数据类型：setObject()

代码：

public static boolean login2(String username, String password) {
    Connection conn=null;
    PreparedStatement stmt=null;
    ResultSet rs=null;
    try {
        Class.forName("com.mysql.jdbc.Driver");
        conn= DriverManager.getConnection("jdbc:mysql://localhost:3306/esa?useSSL=false","root","123456");
        String sql="select count(1) num from tb_user where username = ? and password= ?";
        System.out.println(sql);
        stmt = conn.prepareStatement(sql);
        //----------------
        //给?赋值
        //----------------
        stmt.setString(1,username);
        stmt.setString(2,password);
        rs=stmt.executeQuery();
        rs.next();
        int count=rs.getInt(1);
        return count >= 1;
    } catch (ClassNotFoundException e) {
        throw new RuntimeException(e);
    }catch (SQLException e) {
        throw new RuntimeException(e);
    } finally {
        try{
            if (rs != null) rs.close();
            if (stmt != null) stmt.close();
            if (conn != null) conn.close();
        } catch (SQLException e) {
            throw new RuntimeException(e);
        }
    }
}