Java面试题解析之判断以及防止SQL注入
作者：帅气的小雅君 发布时间：2023-05-26 18:08:59
本文研究的主要是Java面试题中的一个比较常见的题目，判断及防止SQL注入的问题，具体介绍如下。
SQL注入是目前黑客最常用的攻击手段，它的原理是利用数据库对特殊标识符的解析强行从页面向后台传入。改变SQL语句结构，达到扩展权限、创建高等级用户、强行修改用户资料等等操作。
那怎么判断是否被SQL注入了呢？
通过SQL注入的原理我们知道，判断SQL注入可以通过页面传入的数据，后台不应该相信从后台传入的任何数据特别是特殊整型参数和特殊字符参数！
防止SQL注入其实也很简单
1.检查变量数据类型和格式
只要是固定格式的变量，在SQL语句执行前，应该严格按照固定格式检查，确保变量是我们预想的格式！
2.过滤特殊符号
对于无法确定固定格式的变量，一定要进行特殊符号过来或转移处理，一面之星SQL时有歧义。
当我们上传图片的时候
enctype=\”multipart/form-data\”
enctype=”multipart/form-data”
没有“/“，表单中enctype=”multipart/form-data”的意思，是设置表单的MIME编码。默认情况，这个编码格式是application/x-www-form-urlencoded，不能用于文件上传；只有使用了multipart/form- data，才能完整的传递文件数据，进行下面的操作.
3.绑定变量，使用预编译语句
实际上，绑定变量使用预编译语句是预防SQL注入的最佳方法，使用预编译的SQL语句语义不会发生改变。在SQL语句中，变量用问号？表示，黑客即使本事再大，也无法改变SQL语句的格式，从根本上杜绝了SQL注入攻击的发生。
4.数据库信息加密安全
有时候数据库信息泄露了，我们应该对数据库的密码等信息进行加密（MD5等），这样信息泄露，损失也可以在控制在一定范围内。
使用JSP的时候要注意
1.不要随意开一生产环境汇总Webserver的错误显示。
2.永远不要相信来自用户端的变量输入，有固定格式的变量一定要严格检查对应的格式，没有固定格式的变量需要对引号等特殊字符进行必要的过滤转义。
3.使用预编译绑定变量的SQL语句
4.做好数据库账号权限管理
5.严格加密处理用户机密信息
一个好的程序一定要注意安全性，否则只适合练手。
来源：http://blog.csdn.net/jacxuan/article/details/70053665
0
投稿猜你喜欢
前言上一篇：微服务网关Zuul上文中，我们介绍了微服务网关Zuul，Zuul 是 Netflix 公司开源的产品，被称为第一代网关，也是 S- 小伙伴们，最近比较忙，没什么时间写，今天给大家分享的是JAVA如何导出EXCEL表格，因为最近有做这样一个功能，所以分享出来，如有不对之处，
- 一、整体设计1、需求分析池化技术是计算机中的一种设计模式，内存池是常见的池化技术之一，它能够有效的提高内存的申请和释放效率以及内存碎片等问题
- 一、国际化准备资源文件，资源文件的命名格式如下：baseName_language_country.propertiesbaseName_l
- package com.wanmei.meishu;import java.io.FileInputStream;import java.i
- 第一个System.Runtime.InteropServices.Marshal.ReleaseComObject(sheets);&nb
- Java源码系列三-工具类Arrays今天分享java的源码的第三弹，Arrays这个工具类的源码。因为近期在复习数据结构，了解到Array
- 面向对象三要素：封装、继承、多态。封装和继承，这两个比较好理解，但要理解多态的话，可就稍微有点难度了。今天，我们就来讲讲多态的理解。我们应该
- 1.Spring中的 * 在web开发中， * 是经常用到的功能。它可以帮我们预先设置数据以及统计方法的执行效率等等。今天就来详细的谈一下s
- 方法参数public String listFireEvent(@Valid FireSearch fireSearch, Ht
- 前言Spring内置的工具类里，最喜欢用的就是文件读写这一部分，虽然原生的写法也没几句，但是就是懒，不想循环、判断什么的，直接调用现成的静态
- 基石想要盖起高楼的话肯定要打好基石，同样，想要学好 Compose 动画也需要一些“基石”，一起来看
- 1.Overview经常研究.NET源码库的小伙伴会经常看到一个关键字volatile，那它在开发当中的作用是什么呢？我们一起来看看官方文档
- 本文实例讲述了C#写入对象或集合类型数据到xml文件的方法。分享给大家供大家参考。具体实现方法如下：public static string
- 本文实例讲述了Java实现指定线程执行顺序的三种方式。分享给大家供大家参考，具体如下：方法一：通过共享对象锁加上可见变量来实现。public
- 一、问题分析及解决方案1、问题分析上一章我们讲过远程仓储统一管理配置信息，客户端可以通过统一配置服务中心 config server 服务端
- 一 前言学习微服务要从基础的架构学起，首先你要有个微服务的概念才能学习对吧！！如果你都不知道啥是微服务，就一头扎进去学习，你自己也觉得自己也
- HashMap 的线程不安全HashMap 的线程不安全主要体现在下面两个方面在 jdk 1.7 中，当并发执行扩容
- Spring AOP对嵌套方法不起作用今天在调研系统操作记录日志时，好多教程都是借助于Spring AOP机制来实现。于是也采用这种方法来实
- 前言前面我们已经分析Dubbo SPI相关的源码，看过的小伙伴相信已经知晓整个加载过程，我们也留下两个问题，今天我们先来处理下其中关于注解A
