关于对SQL注入问题与SQL执行过程的理解与简述（基于JDBC）

2024-01-09 18:35 由进步·于辰发表于 #其他

【版权声明】未经博主同意，谢绝转载！（请尊重原创，博主保留追究权）
https://www.cnblogs.com/cnb-yuchen/p/17955065
出自【进步*于辰的博客】

参考笔记一，P52.2/3。

1、SQL注入

大家看这条SQL语句：

String sql = "select * from users where username = '"
			 + name + + "' and password = '" + pass + "'";

这是一条由字符串拼接而成的登录SQL语句。当用户名、密码都匹配时，才能查询出用户信息，进而登录成功。

用户名和密码由表单输入，假设一种情况：

name = "yc"
pass = "123' or 1 = 1"

那拼接出的SQL语句就是：

String sql = "select * from users where username = 'yc' 
			and password = '123' or 1 = 1";

如此，用户名和密码已无效，皆可登录成功。

那到底什么是SQL注入？
“SQL注入”是指恶意输入表单数据，利用程序存在先生成SQL语句，后编译的漏洞，使数据库编译器误将表单数据中的字符串识别为数据库关键字，而导致SQL语句“异常”执行，进而表单失效的问题。

上述例子，pass 中带有"or"，本是字符串，但数据库编译器将其识别为or关键字。

需要注意一点，以下整个过程都是在数据库中执行。

“执行判断”中一个需要注意的问题：
访问数据库时，只要重新执行sql语句即可实现刷新（重新访问），可实际上无法实现。因为sql语句执行后，会生成临时表，如果连接未关闭，临时表就仍然存在。在重新执行相同sql语句时，不会访问数据库，即无法实现刷新。

（基于JDBC）当执行executexx()时，sql语句会经历以上五个步骤，由于先拼接sql语句再进行编译，故数据库会误将“or”、“and”等字符串识别为关键字，从而导致SQL注入问题。

解决方法：将执行对象 Statement 换成 PreparedStatement。
原理：

PreparedStatement 类属于预编译。在实例化时，即conn.preparedStatement(sql)，载入了sql语句，故在程序中完成了验证和编译；
Statement 类是将变量拼接进sql语句；而PreparedStatemet 类是为变量提供占位符“?”供变量赋值，这些变量称为“预变量”。
当为“预类型”为 String 的占位符赋值时，无论变量值包含什么，都会将其视为字符串，也解决SQL注入问题。
-注：当使用 PreparedStatement 类时，由于变量位置由占位符代替，摆脱了变量作用域限制，故可实现$sql语句的共享$。

本文完结。