Java-转义字符串以防止SQL注入

Z时代
2024-01-10
分类：问答

我试图在Java中放置一些反SQL注入，并发现使用“ replaceAll”字符串函数非常困难。最后，我需要，将转换现有的功能\ to \\, any " to \", any ' to \', and any \n to \\n使得当字符串由MySQL的SQL注入评估将被阻止。

我已经整理了一些正在使用的代码，并且\\\\\\\\\\\该函数中的所有内容都使我大失所望。如果有人碰巧有这个例子，我将不胜感激。

回答：

PreparedStatement是可行的方法，因为它们使SQL注入成为不可能。这是一个简单的示例，将用户的输入作为参数：

public insertUser(String name, String email) {
   Connection conn = null;
   PreparedStatement stmt = null;
   try {
      conn = setupTheDatabaseConnectionSomehow();
      stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");
      stmt.setString(1, name);
      stmt.setString(2, email);
      stmt.executeUpdate();
   }
   finally {
      try {
         if (stmt != null) { stmt.close(); }
      }
      catch (Exception e) {
         // log this error
      }
      try {
         if (conn != null) { conn.close(); }
      }
      catch (Exception e) {
         // log this error
      }
   }
}