㈠ 用java PreparedStatement就不用擔心sql注入了嗎
SQL Injection：是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令
select * from tab_name where name= '"+name+"' and passwd='"+passwd+"';
把其中passwd換成 [' or '1' = '1] 這樣就可以完成sql注入
PreparedStatement 對象用於執行帶或不帶參數的預編譯 SQL 語句
PreparedStatement 不允許在不同的插入時間改變查詢的邏輯結構，所以這種注入方式無效
㈡ java防止sql注入有哪些方法
前台我們可以通過過濾用戶輸入，後台可以通過PreparedStatement來代替Statement來執行SQL語句。
㈢ java防止SQL注入的幾個途徑
java防SQL注入,最簡單的辦法是杜絕SQL拼接,SQL注入攻擊能得逞是因為在原有SQL語句中加入了新的邏輯，如果使用PreparedStatement來代替Statement來執行SQL語句，其後只是輸入參數，SQL注入攻擊手段將無效，這是因為PreparedStatement不允許在不同的插入時間改變查詢的邏輯結構,大部分的SQL注入已經擋住了,在WEB層我們可以過濾用戶的輸入來防止SQL注入比如用Filter來過濾全局的表單參數
01importjava.io.IOException;
02importjava.util.Iterator;
03importjavax.servlet.Filter;
04importjavax.servlet.FilterChain;
05importjavax.servlet.FilterConfig;
06importjavax.servlet.ServletException;
07importjavax.servlet.ServletRequest;
08importjavax.servlet.ServletResponse;
09importjavax.servlet.http.HttpServletRequest;
10importjavax.servlet.http.HttpServletResponse;
11/**
12*通過Filter過濾器來防SQL注入攻擊
13*
14*/
{
16privateStringinj_str="'|and|exec|insert|select|delete|update|count|*|%
|chr|mid|master|truncate|char|declare|;|or|-|+|,";
=null;
18/**
19*?
20*/
21protectedbooleanignore=true;
22publicvoidinit(FilterConfigconfig)throwsServletException{
23this.filterConfig=config;
24this.inj_str=filterConfig.getInitParameter("keywords");
25}
26publicvoiddoFilter(ServletRequestrequest,ServletResponseresponse,
27FilterChainchain)throwsIOException,ServletException{
28HttpServletRequestreq=(HttpServletRequest)request;
29HttpServletResponseres=(HttpServletResponse)response;
30Iteratorvalues=req.getParameterMap().values().iterator();//獲取所有的表單參數
31while(values.hasNext()){
32String[]value=(String[])values.next();
33for(inti=0;i<value.length;i++){
34if(sql_inj(value[i])){
35//TODO這里發現sql注入代碼的業務邏輯代碼
36return;
37}
38}
39}
40chain.doFilter(request,response);
41}
42publicbooleansql_inj(Stringstr)
43{
44String[]inj_stra=inj_str.split("\|");
45for(inti=0;i<inj_stra.length;i++)
46{
47if(str.indexOf(""+inj_stra[i]+"")>=0)
48{
49returntrue;
50}
51}
52returnfalse;
53}
54}
也可以單獨在需要防範SQL注入的JavaBean的欄位上過濾：
1/**
2*防止sql注入
3*
4*@paramsql
5*@return
6*/
(Stringsql){
8returnsql.replaceAll(".*([';]+|(--)+).*","");
9}
㈣ 用java編寫防止SQL注入！求java高手指點！問題解決後，一定提高懸賞！
SQL注入無非就是把對單引號和雙"-"進行轉換。
最好不要拼裝SQL語句，以使用參數化的sql或者直接使用存儲過程進行數據查詢存取。
㈤ Java中如何解決sql 注入漏洞
使用prepareStatement，在用戶名那裡填？，用set方法往裡賦值 追問： 我用statement可以返回結果集，用resultsetmetadata也可以查出返回的列數。用preparedstatement也是一樣的。我現在的問題是在那個if語句了對傳入的password和結果集中的password比較時出了問題。那不怎樣防止注入漏洞呀 回答： 我不是說了嗎，用preparestatement可以防止sql注入漏洞，你要在好好想下，你是不是暈為什麼么不用比較，因為有查到記錄了，返回true，查不到就返回falsh了 追問： 用戶名是查到了 如果我資料庫有個用戶名是admin 密碼是123 我用戶名admin正確了 但是我還是要比較密碼是否是一樣的呀 回答： 那你組織sql語句的時候對密碼也查詢，如果沒查到，它連if循環都進不去，給你sql語句select top 1 *from 表名where 用戶＝？
㈥ 留言板正則表達防止sql注入
你看你想要什麼的吧 "^\d+$"//非負整數（正整數 + 0）
"^[0-9]*[1-9][0-9]*$"//正整數
"^((-\d+)|(0+))$"//非正整數（負整數 + 0）
"^-[0-9]*[1-9][0-9]*$"//負整數
"^-?\d+$"//整數
"^\d+(\.\d+)?$"//非負浮點數（正浮點數 + 0）
"^(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*))$"//正浮點數
"^((-\d+(\.\d+)?)|(0+(\.0+)?))$"//非正浮點數（負浮點數 + 0）
"^(-(([0-9]+\.[0-9]*[1-9][0-9]*)|([0-9]*[1-9][0-9]*\.[0-9]+)|([0-9]*[1-9][0-9]*)))$"//負浮點數
"^(-?\d+)(\.\d+)?$"//浮點數
"^[A-Za-z]+$"//由26個英文字母組成的字元串
"^[A-Z]+$"//由26個英文字母的大寫組成的字元串
"^[a-z]+$"//由26個英文字母的小寫組成的字元串
"^[A-Za-z0-9]+$"//由數字和26個英文字母組成的字元串
"^\w+$"//由數字、26個英文字母或者下劃線組成的字元串
"^[\w-]+(\.[\w-]+)*@[\w-]+(\.[\w-]+)+$"//email地址
"^[a-zA-z]+://(\w+(-\w+)*)(\.(\w+(-\w+)*))*(\?\S*)?$"//url
整數或者小數：^[0-9]+\.{0,1}[0-9]{0,2}$
只能輸入數字："^[0-9]*$"。
只能輸入n位的數字："^\d{n}$"。
只能輸入至少n位的數字："^\d{n,}$"。
只能輸入m~n位的數字：。"^\d{m,n}$"
只能輸入零和非零開頭的數字："^(0|[1-9][0-9]*)$"。
只能輸入有兩位小數的正實數："^[0-9]+(.[0-9]{2})?$"。
只能輸入有1~3位小數的正實數："^[0-9]+(.[0-9]{1,3})?$"。
只能輸入非零的正整數："^\+?[1-9][0-9]*$"。
只能輸入非零的負整數："^\-[1-9][]0-9"*$。
只能輸入長度為3的字元："^.{3}$"。
只能輸入由26個英文字母組成的字元串："^[A-Za-z]+$"。
只能輸入由26個大寫英文字母組成的字元串："^[A-Z]+$"。
只能輸入由26個小寫英文字母組成的字元串："^[a-z]+$"。
只能輸入由數字和26個英文字母組成的字元串："^[A-Za-z0-9]+$"。
只能輸入由數字、26個英文字母或者下劃線組成的字元串："^\w+$"。
驗證用戶密碼："^[a-zA-Z]\w{5,17}$"正確格式為：以字母開頭，長度在6~18之間，只能包含字元、數字和下劃線。
驗證是否含有^%&'',;=?$\"等字元："[^%&'',;=?$\x22]+"。
只能輸入漢字："^[\u4e00-\u9fa5]{0,}$"
驗證Email地址："^\w+([-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$"。
驗證InternetURL："^http://([\w-]+\.)+[\w-]+(/[\w-./?%&=]*)?$"。
驗證電話號碼："^(\(\d{3,4}-)|\d{3.4}-)?\d{7,8}$"正確格式為："XXX-XXXXXXX"、"XXXX-XXXXXXXX"、"XXX-XXXXXXX"、"XXX-XXXXXXXX"、"XXXXXXX"和"XXXXXXXX"。
驗證身份證號（15位或18位數字）："^\d{15}|\d{18}$"。
驗證一年的12個月："^(0?[1-9]|1[0-2])$"正確格式為："01"～"09"和"1"～"12"。
驗證一個月的31天："^((0?[1-9])|((1|2)[0-9])|30|31)$"正確格式為；"01"～"09"和"1"～"31"。整數或者小數：^[0-9]+\.{0,1}[0-9]{0,2}$
只能輸入數字："^[0-9]*$"。
只能輸入n位的數字："^\d{n}$"。
只能輸入至少n位的數字："^\d{n,}$"。
只能輸入m~n位的數字：。"^\d{m,n}$"
只能輸入零和非零開頭的數字："^(0|[1-9][0-9]*)$"。
只能輸入有兩位小數的正實數："^[0-9]+(.[0-9]{2})?$"。
只能輸入有1~3位小數的正實數："^[0-9]+(.[0-9]{1,3})?$"。
只能輸入非零的正整數："^\+?[1-9][0-9]*$"。
只能輸入非零的負整數："^\-[1-9][]0-9"*$。
只能輸入長度為3的字元："^.{3}$"。
只能輸入由26個英文字母組成的字元串："^[A-Za-z]+$"。
只能輸入由26個大寫英文字母組成的字元串："^[A-Z]+$"。
只能輸入由26個小寫英文字母組成的字元串："^[a-z]+$"。
只能輸入由數字和26個英文字母組成的字元串："^[A-Za-z0-9]+$"。
只能輸入由數字、26個英文字母或者下劃線組成的字元串："^\w+$"。
驗證用戶密碼："^[a-zA-Z]\w{5,17}$"正確格式為：以字母開頭，長度在6~18之間，只能包含字元、數字和下劃線。
驗證是否含有^%&'',;=?$\"等字元："[^%&'',;=?$\x22]+"。
只能輸入漢字："^[\u4e00-\u9fa5]{0,}$"
驗證Email地址："^\w+([-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$"。
驗證InternetURL："^http://([\w-]+\.)+[\w-]+(/[\w-./?%&=]*)?$"。
驗證電話號碼："^(\(\d{3,4}-)|\d{3.4}-)?\d{7,8}$"正確格式為："XXX-XXXXXXX"、"XXXX-XXXXXXXX"、"XXX-XXXXXXX"、"XXX-XXXXXXXX"、"XXXXXXX"和"XXXXXXXX"。
驗證身份證號（15位或18位數字）："^\d{15}|\d{18}$"。
驗證一年的12個月："^(0?[1-9]|1[0-2])$"正確格式為："01"～"09"和"1"～"12"。
驗證一個月的31天："^((0?[1-9])|((1|2)[0-9])|30|31)$"正確格式為；"01"～"09"和"1"～"31"。
㈦ php防止sql注入示例分析和幾種常見攻擊正則
functioncustomError($errno,$errstr,$errfile,$errline)
{
echo"Errornumber:[$errno],erroronline$errlinein$errfile
";
die();
}
set_error_handler("customError",E_ERROR);
$getfilter="'|(and|or)\b.+?(>|<|=|in|like)|\/\*.+?\*\/|<\s*script\b|\bEXEC\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)";
$postfilter="\b(and|or)\b.{1,6}?(=|>|<|\bin\b|\blike\b)|\/\*.+?\*\/|<\s*script\b|\bEXEC\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)";
$cookiefilter="\b(and|or)\b.{1,6}?(=|>|<|\bin\b|\blike\b)|\/\*.+?\*\/|<\s*script\b|\bEXEC\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)";
functionStopAttack($StrFiltKey,$StrFiltValue,$ArrFiltReq)
{
if(is_array($StrFiltValue))
{
$StrFiltValue=implode($StrFiltValue);
}
if(preg_match("/".$ArrFiltReq."/is",$StrFiltValue)==1&&!isset($_REQUEST['securityToken']))
{
slog("
操作IP:".$_SERVER["REMOTE_ADDR"]."
操作時間:".strftime("%Y-%m-%d%H:%M:%S")."
操作頁面:".$_SERVER["PHP_SELF"]."
提交方式:".$_SERVER["REQUEST_METHOD"]."
提交參數:".$StrFiltKey."
提交數據:".$StrFiltValue);
print"resultnotice:Illegaloperation!";
exit();
}
}
foreach($_GETas$key=>$value)
{
StopAttack($key,$value,$getfilter);
}
foreach($_POSTas$key=>$value)
{
StopAttack($key,$value,$postfilter);
}
foreach($_COOKIEas$key=>$value)
{
StopAttack($key,$value,$cookiefilter);
}
functionslog($logs)
{
$toppath="log.htm";
$Ts=fopen($toppath,"a+");
fputs($Ts,$logs." ");
fclose($Ts);
}
?>
㈧ 求用java編寫帶界面的SQL注入檢測程序
程序沒有，不過以前做過這方面的一些研究，給你總結了一下。一般來說有這些種，樓主可以根據這些來寫測試語句。
1.沒有正確過濾轉義字元
在用戶的輸入沒有為轉義字元過濾時，就會發生這種形式的注入式攻擊，它會被傳遞給一個SQL語句。這樣就會導致應用程序的終端用戶對資料庫上的語句實施操縱。比方說，下面的這行代碼就會演示這種漏洞：
statement := "SELECT * FROM users WHERE name = '" + userName + "'; "
這種代碼的設計目的是將一個特定的用戶從其用戶表中取出，但是，如果用戶名被一個惡意的用戶用一種特定的方式偽造，這個語句所執行的操作可能就不僅僅是代碼的作者所期望的那樣了。例如，將用戶名變數(即username)設置為：
a' or 't'='t，此時原始語句發生了變化：
SELECT * FROM users WHERE name = 'a' OR 't'='t';
如果這種代碼被用於一個認證過程，那麼這個例子就能夠強迫選擇一個合法的用戶名，因為賦值't'='t永遠是正確的。
在一些SQL伺服器上，如在SQLServer中，任何一個SQL命令都可以通過這種方法被注入，包括執行多個語句。下面語句中的username的值將會導致刪除「users」表，又可以從「data」表中選擇所有的數據(實際上就是透露了每一個用戶的信息)。
a'; DROP TABLE users; SELECT * FROM data WHERE name LIKE '%
這就將最終的SQL語句變成下面這個樣子：
SELECT * FROM users WHERE name = 'a'; DROP TABLE users; SELECT * FROM DATA WHERE name LIKE '%';
其它的SQL執行不會將執行同樣查詢中的多個命令作為一項安全措施。這會防止攻擊者注入完全獨立的查詢，不過卻不會阻止攻擊者修改查詢。
2.Incorrect type handling
如果一個用戶提供的欄位並非一個強類型，或者沒有實施類型強制，就會發生這種形式的攻擊。當在一個SQL語句中使用一個數字欄位時，如果程序員沒有檢查用戶輸入的合法性(是否為數字型)就會發生這種攻擊。例如：
statement := "SELECT * FROM data WHERE id = " + a_variable + "; "
從這個語句可以看出，作者希望a_variable是一個與「id」欄位有關的數字。不過，如果終端用戶選擇一個字元串，就繞過了對轉義字元的需要。例如，將a_variable設置為:1; DROP TABLE users，它會將「users」表從資料庫中刪除，SQL語句變成：SELECT * FROM DATA WHERE id = 1; DROP TABLE users;
3.資料庫伺服器中的漏洞
有時，資料庫伺服器軟體中也存在著漏洞，如MYSQL伺服器中mysql_real_escape_string()函數漏洞。這種漏洞允許一個攻擊者根據錯誤的統一字元編碼執行一次成功的SQL注入式攻擊。
4.盲目SQL注入式攻擊
當一個Web應用程序易於遭受攻擊而其結果對攻擊者卻不見時，就會發生所謂的盲目SQL注入式攻擊。有漏洞的網頁可能並不會顯示數據，而是根據注入到合法語句中的邏輯語句的結果顯示不同的內容。這種攻擊相當耗時，因為必須為每一個獲得的位元組而精心構造一個新的語句。但是一旦漏洞的位置和目標信息的位置被確立以後，一種稱為Absinthe的工具就可以使這種攻擊自動化。
5.條件響應
注意，有一種SQL注入迫使資料庫在一個普通的應用程序屏幕上計算一個邏輯語句的值：
SELECT booktitle FROM booklist WHERE bookId = 'OOk14cd' AND 1=1
這會導致一個標準的面面，而語句
SELECT booktitle FROM booklist WHERE bookId = 'OOk14cd' AND 1=2在頁面易於受到SQL注入式攻擊時，它有可能給出一個不同的結果。如此這般的一次注入將會證明盲目的SQL注入是可能的，它會使攻擊者根據另外一個表中的某欄位內容設計可以評判真偽的語句。
6.條件性差錯
如果WHERE語句為真，這種類型的盲目SQL注入會迫使資料庫評判一個引起錯誤的語句，從而導致一個SQL錯誤。例如：
SELECT 1/0 FROM users WHERE username='Ralph'。顯然，如果用戶Ralph存在的話，被零除將導致錯誤。
7.時間延誤
時間延誤是一種盲目的SQL注入，根據所注入的邏輯，它可以導致SQL引擎執行一個長隊列或者是一個時間延誤語句。攻擊者可以衡量頁面載入的時間，從而決定所注入的語句是否為真。
㈨ java 多條件查詢的sql怎麼防止sql注入漏洞
原理，過濾所有請求中含有非法的字元，例如：, & < select delete 等關鍵字，黑客可以利用這些字元進行注入攻擊，原理是後台實現使用拼接字元串！
你的採納是我前進的動力，
記得好評和採納，答題不易，互相幫助，
手機提問的朋友在客戶端右上角評價點（滿意）即可.
如果你認可我的回答，請及時點擊（採納為滿意回答）按鈕！！