druidsql注入_ssm框架中怎麼配置資料庫連接池

Ⅰ druiddatasource 最大連接數120能支撐多少台伺服器訪問

druid連接池配置

package demo.test;

import java.io.InputStream;
import java.sql.Connection;
import java.sql.SQLException;
import java.util.Properties;

import javax.sql.DataSource;

import com.alibaba.druid.pool.DruidDataSourceFactory;

public class DBUtil {

private static DataSource ds = null;

static {
try{
InputStream in = DBUtil.class.getClassLoader()
.getResourceAsStream("ds.properties");
Properties props = new Properties();
props.load(in);
ds = DruidDataSourceFactory.createDataSource(props);
}catch(Exception ex){
ex.printStackTrace();
}
}

public static Connection openConnection() throws SQLException{
return ds.getConnection();
}

}

ds.properties內容：

driverClassName = oracle.jdbc.driver.OracleDriver
url = jdbc:oracle:thin:@127.0.0.1:1521:ORCL
username = ******
password = ******

initialSize = 5
maxActive = 10
minIdle = 3
maxWait = 60000
removeAbandoned = true
removeAbandonedTimeout = 180
timeBetweenEvictionRunsMillis = 60000
minEvictableIdleTimeMillis = 300000
validationQuery = SELECT 1 FROM DUAL
testWhileIdle = true
testOnBorrow = false
testOnReturn = false
poolPreparedStatements = true
= 50
filters = stat

基於Spring的配置：

<bean id="druidDataSource" class="com.alibaba.druid.pool.DruidDataSource"
init-method="init" destroy-method="close">

<property name="driverClassName" value="${oracle.driver}" />
<property name="url" value="${oracle.url}" />
<property name="username" value="${oracle.username}" />
<property name="password" value="${oracle.password}" />

<property name="initialSize" value="${druid.initialSize}" />

<property name="maxActive" value="${druid.maxActive}" />

<property name="maxIdle" value="${druid.maxIdle}" />

<property name="minIdle" value="${druid.minIdle}" />

<property name="maxWait" value="${druid.maxWait}" />

<property name="removeAbandoned" value="${druid.removeAbandoned}" />

<property name="removeAbandonedTimeout" value="${druid.removeAbandonedTimeout}" />

<property name="timeBetweenEvictionRunsMillis" value="${druid.timeBetweenEvictionRunsMillis}" />

<property name="minEvictableIdleTimeMillis" value="${druid.minEvictableIdleTimeMillis}" />

<property name="validationQuery" value="${druid.validationQuery}" />

<property name="testWhileIdle" value="${druid.testWhileIdle}" />

<property name="testOnBorrow" value="${druid.testOnBorrow}" />

<property name="testOnReturn" value="${druid.testOnReturn}" />

<property name="poolPreparedStatements" value="${druid.poolPreparedStatements}" />
<property name="" value="${druid.}" />

<property name="filters" value="${druid.filters}" />
</bean>

啟用Web監控統計功能需要在Web應用的web.xml中加入以下內容：

<filter>
<filter-name>DruidWebStatFilter</filter-name>
<filter-class>com.alibaba.druid.support.http.WebStatFilter</filter-class>
<init-param>
<param-name>exclusions</param-name>
<param-value>*.js,*.gif,*.jpg,*.png,*.css,*.ico,/druid/*</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>DruidWebStatFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<servlet>
<servlet-name>DruidStatView</servlet-name>
<servlet-class>com.alibaba.druid.support.http.StatViewServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>DruidStatView</servlet-name>
<url-pattern>/druid/*</url-pattern>
</servlet-mapping>

訪問監控頁面：http://ip：port/projectName/druid/index.html

Ⅱ druid sql語句怎麼寫

INSERT INTO TABLE_NAME VALUES (); 插入值最好一條條插入
UPDATE 表名稱 SET 列名稱 = 新值 WHERE 列名稱 = 某值; 這是更新值

Ⅲ druid sql server 驗證

Druid是屬於阿里巴巴開源項目，負責人溫少錦，人稱溫少，從2010入職阿里，開發了DRAGOON性能夠監控系統，以及被稱為最快的JSON解析引擎FASTJSON。
Druid是阿里巴巴開源平台上的一個項目，整個項目由資料庫連接池、插件框架和SQL解析器組成。該項目主要是為了擴展JDBC的一些限制，可以讓程序員實現一些特殊的需求，比如向密鑰服務請求憑證、統計SQL信息、SQL性能收集、SQL注入檢查、SQL翻譯等，程序員可以通過定製來實現自己需要的功能。

Ⅳ SpringBoot 防止SQL注入、XSS攻擊、CSRF/CROS惡意訪問

一、SQL 注入問題

SQL 注入即是指 web 應用程序對用戶輸入數據的合法性沒有判斷或過濾不嚴，攻擊者可以在 web 應用程序中事先定義好的查詢語句的結尾上添加額外的 SQL 語句，在管理員不知情的情況下實現非法操作，以此來實現欺騙資料庫伺服器執行非授權的任意查詢，從而進一步得到相應的數據信息。

簡單來說，就是將大部分 SQL 語句當參數傳入系統中，從而獲取系統中的數據。下面簡單舉例說明

系統中有這樣一條信息 SQL 語句執行，分頁查詢所有用戶，每頁查詢 20 條，並且根據指定欄位進行排序，也就是說排序欄位也是參數傳遞過來的

SQL 注入問題分析：

這樣很簡單的一句話 SQL，就可以把系統搞炸掉，這種方式可以實現刪庫跑路

以上語句會把整個 test 資料庫所有內容都刪掉

盡量用預編譯機制，少用字元串拼接的方式傳參，它是 sql 注入問題的根源。

有些特殊字元，比如：%作為 like 語句中的參數時，要對其進行轉義處理。

需要對所有的異常情況進行捕獲，切記介面直接返回異常信息，因為有些異常信息中包含了 sql 信息，包括：庫名，表名，欄位名等。攻擊者拿著這些信息，就能通過 sql 注入隨心所欲地攻擊你的資料庫了。目前比較主流的做法是，有個專門的網關服務，它統一暴露對外介面。用戶請求介面時先經過它，再由它將請求轉發給業務服務。這樣做的好處是：能統一封裝返回數據的返回體，並且如果出現異常，能返回統一的異常信息，隱藏敏感信息。此外還能做限流和許可權控制。

使用 sqlMap 等待代碼檢測工具，它能檢測 sql 注入漏洞。

需要對資料庫 sql 的執行情況進行監控，有異常情況，及時郵件或簡訊提醒。

對生產環境的資料庫建立單獨的賬號，只分配 DML 相關許可權，且不能訪問系統表。切勿在程序中直接使用管理員賬號。

建立代碼 review 機制，能找出部分隱藏的問題，提升代碼質量。

對於不能使用預編譯傳參時，要麼開啟 druid 的 filter 防火牆，要麼自己寫代碼邏輯過濾掉所有可能的注入關鍵字。

XSS 攻擊通常指的是通過利用網頁開發時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網頁，使用戶載入並執行攻擊者惡意製造的網頁程序。這些惡意網頁程序通常是 JavaScript，但實際上也可以包括 Java、 VBScript、ActiveX、 Flash 或者甚至是普通的 HTML。攻擊成功後，攻擊者可能得到包括但不限於更高的許可權（如執行一些操作）、私密網頁內容、會話和 cookie 等各種內容。

通常情況下，被用來盜用 Cookie、破壞頁面結構、重定向到其他網站等

對用戶輸入的表單信息進行檢測過濾

CSRF - Cross-Site Request Forgery - 跨站請求偽造:

攻擊可以在受害者毫不知情的情況下以受害者名義偽造請求發送給受攻擊站點，從而在未授權的情況下執行在許可權保護之下的操作，CORS - Cross Origin Resourse-Sharing - 跨站資源共享，惡意訪問內網敏感資源。

有效的解決辦法是通過多種條件屏蔽掉非法的請求，例如 HTTP 頭、參數等：

防止大規模的惡意請求，niginx 反向代理可以配置請求頻率，對 ip 做限制。nginx 可以很方便地做訪問控制，特別是一些偶發性的大量惡意請求，需要屏蔽處理。

屏蔽 ip 地址

屏蔽 user-agent

屏蔽代理 ip

有兩種情形會需要屏蔽代理 ip：一是代理 ip 訪問，二是負載均衡（real-ip 請求負載均衡伺服器，再代理給後端 server）

創建包裝器，這是實現 XSS 過濾的關鍵，在其內重寫了 getParameter，getParameterValues，getHeader 等方法，對 http 請求內的參數進行了過濾

Ⅳ 如何使用Druid監控sql

Druild包獲取
Maven工程中添加druid依賴包：

<dependency>
<groupId>com.alibaba</groupId>
<artifactId>druid</artifactId>
<version>1.0.26</version>
</dependency>
Druid使用
替換C3P0連接池
Web工程原先採用C3P0連接池的配置：

<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource"
destroy-method="close">
<property name="driverClass" value="${jdbc.driverClassName}" />
<property name="jdbcUrl" value="${jdbc.url}" />
<property name="user" value="${jdbc.username}" />
<property name="password" value="${jdbc.password}" />
<property name="autoCommitOnClose" value="false" />
<property name="maxIdleTime" value="${cpool.maxIdleTime}" />
<property name="checkoutTimeout" value="${cpool.checkoutTimeout}" />
<property name="initialPoolSize" value="${cpool.minPoolSize}" />
<property name="minPoolSize" value="${cpool.minPoolSize}" />
<property name="maxPoolSize" value="${cpool.maxPoolSize}" />
<property name="acquireIncrement" value="${cpool.acquireIncrement}" />
<property name="maxIdleTimeExcessConnections" value="${cpool.maxIdleTimeExcessConnections}" />
</bean>
改成Druid連接池DruidDataSource

<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource"
destroy-method="close">
<property name="url" value="${jdbc.url}" />
<property name="username" value="${jdbc.username}" />
<property name="password" value="${jdbc.password}" />
<property name="maxActive" value="20" />
<property name="initialSize" value="1" />
<property name="maxWait" value="60000" />
<property name="minIdle" value="1" />
<property name="timeBetweenEvictionRunsMillis" value="60000" />
<property name="minEvictableIdleTimeMillis" value="300000" />
<property name="testWhileIdle" value="true" />
<property name="testOnBorrow" value="false" />
<property name="testOnReturn" value="false" />
<property name="poolPreparedStatements" value="true" />
<property name="maxOpenPreparedStatements" value="20" />
</bean>
StatViewServlet配置
Druid內置提供了一個StatViewServlet用於展示Druid的統計信息。
這個StatViewServlet的用途包括：
提供監控信息展示的html頁面
提供監控信息的JSON API
StatViewServlet是一個標準的javax.servlet.http.HttpServlet，需要配置在你web應用中的WEB-INF/web.xml中。
<servlet>
<servlet-name>DruidStatView</servlet-name>
<servlet-class>com.alibaba.druid.support.http.StatViewServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>DruidStatView</servlet-name>
<url-pattern>/druid/*</url-pattern>
</servlet-mapping>
配置完之後，可以通過如下格式的地址在瀏覽器訪問查看。
http:/<host>:<port>/<context>/druid

Ⅵ druid 怎麼配置防禦sql注入攻擊

使用PDO或者MySQLi，有很多封裝好的方便的Class。例如使用PHP-PDO-MySQL-Class · GitHub（這個Class使用上比較類似Python的MySQLdb）的話，這樣就是安全的：直接拼接字元串則是危險的：

Ⅶ 怎麼樣配置druid將sql語句及參數記錄到日誌文件中去

<!--每隔5分鍾將監控日誌輸出到日誌文件中，單位是毫秒。-->
<propertyname="timeBetweenLogStatsMillis"value="300000"和陪/>

<!--監控資料庫-->
<propertyname="proxyFilters">
<list>
<refbean="stat-filter"/>
<refbean="wall-filter"/>
<refbean="log-filter"/>
</list>
鋒棚鍵</property><beanid="stat-filter"class="com.alibaba.druid.filter.stat.StatFilter">
<propertyname="slowSqlMillis"value="3000"/>
<propertyname="logSlowSql"value="true"/>
<propertyname="mergeSql"value="true"/>
</bean>

<beanid="log-filter"銀巧class="com.alibaba.druid.filter.logging.Log4jFilter">
<!--<propertyname="resultSetLogEnabled"value="false"/>-->
<!--<propertyname=""value="true"/>-->
</bean>

<beanid="wall-filter"class="com.alibaba.druid.wall.WallFilter">
<propertyname="dbType"value="oracle"/>
<propertyname="config"ref="wall-filter-config"/>
</bean>

<beanid="wall-filter-config"class="com.alibaba.druid.wall.WallConfig"init-method="init">
<propertyname="dir"value="META-INF/druid/wall/oracle"/>
</bean>

Ⅷ ssm框架中怎麼配置資料庫連接池

Druid配置
1.下載jar包：http://repo1.maven.org/maven2/com/alibaba/druid/
2.編寫資料庫連接的資源文件：dbconfig.properties
url:jdbc:mysql://localhost:3306/flm?useUnicode=true&characterEncoding=utf8
driverClassName:com.mysql.jdbc.Driver
username:root
password:root

#------------------------------------------------------------------------------------------
#配置擴展插件監控統計用filters:stat 日誌用filters:log4j 防禦sql注入用filters:wall
filters:stat

#最大連接池數量初始化建立物理連接的個數獲取連接時最長的等待時間最小連接池數量 maxIdle已經棄用
maxActive:20
initialSize:1
maxWait:60000
minIdle:10
maxIdle:15

#有兩個含義 1.Destroy 線程會檢測連接的時間 2.testWhileIdle的判斷依據
timeBetweenEvictionRunsMillis:60000

#Destory線程中如果檢測到當前連接的最後活躍時間和當前時間的差值大於minEvictableIdleTimeMillis，則關閉當前連接
minEvictableIdleTimeMillis:300000

#用來檢測連接是否的sql，要求是一個查詢語句。在mysql中通常設置為SELECT 'X'
validationQuery:SELECT 'x'

#申請連接的時候檢測，如果空閑時間大於timeBetweenEvictionRunsMillis，執行validationQuery連接是否有效
testWhileIdle:true

#申請連接時執行validationQuery檢測連接是否有效這個配置會降低性能
testOnBorrow:false

#歸還連接時執行validationQuery檢測連接是否有效這個配置會降低性能
testOnReturn:false

#要啟用PSCache，必須配置大於0，當大於0時，poolPreparedStatements自動觸發修改為true
maxOpenPreparedStatements:20

#對於建立連接超過removeAbandonedTimeout的連接強制關閉
removeAbandoned:true

#指定連接建立多長就被強制關閉
removeAbandonedTimeout:1800

#指定發生removeabandoned時，是否記錄當前線程的堆棧信息到日誌中
logAbandoned:true
04142434445460414243444546

3.在Spring配置文件ApplicationContext.xml中載入資源文件進來

<bean id="propertyConfigurer" class="org.springframework.beans.factory.config.PropertyPlaceholderConfigurer">
<property name="locations">
<list>
<value>/WEB-INF/classes/dbconfig.properties</value> 
</list>
</property>
</bean> 1234567812345678

4.在Spring配置文件ApplicationContext.xml中配置阿里數據連接池Druid


<bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" destroy-method="close">

<property name="url" value="${url}" />
<property name="username" value="${username}" />
<property name="password" value="${password}" />
<property name="driverClassName" value="${driverClassName}" />
<property name="filters" value="${filters}" />

<property name="maxActive" value="${maxActive}" />

<property name="initialSize" value="${initialSize}" />

<property name="maxWait" value="${maxWait}" />

<property name="minIdle" value="${minIdle}" />

<property name="timeBetweenEvictionRunsMillis" value="${timeBetweenEvictionRunsMillis}" />

<property name="minEvictableIdleTimeMillis" value="${minEvictableIdleTimeMillis}" />
<property name="validationQuery" value="${validationQuery}" />
<property name="testWhileIdle" value="${testWhileIdle}" />
<property name="testOnBorrow" value="${testOnBorrow}" />
<property name="testOnReturn" value="${testOnReturn}" />
<property name="maxOpenPreparedStatements" value="${maxOpenPreparedStatements}" />

<property name="removeAbandoned" value="${removeAbandoned}" />

<property name="removeAbandonedTimeout" value="${removeAbandonedTimeout}" />

<property name="logAbandoned" value="${logAbandoned}" />
</bean>

Ⅸ Druid的數據連接

Druid支持所有JDBC兼容的資料庫，包括Oracle、MySql、Derby、Postgresql、SQL Server、H2等等。
Druid針對Oracle和MySql做了特別優化，比如Oracle的PS Cache內存佔用優化，MySql的ping檢測優化。阿里巴巴是一個重度使用關系資料庫的公司，我們在生產環境中大量的使用Druid，通過長期在極高負載的生產環境中實際使用、修改和完善，讓Druid逐步發展成最好的資料庫連接池。Druid在監控、可擴展性、穩定性和性能方面都有明顯的優勢。
首先，強大的監控特性，通過Druid提供的監控功能，可以清楚知道連接池和SQL的工作情況。
監控SQL的執行時間、ResultSet持有時間、返回行數、更新行數、錯誤次數、錯誤堆棧信息。
SQL執行的耗時區間分布。什麼是耗時區間分布呢？比如說，某個SQL執行了1000次，其中0~1毫秒區間50次，1~10毫秒800次，10~100毫秒100次，100~1000毫秒30次，1~10秒15次，10秒以上5次。通過耗時區間分布，能夠非常清楚知道SQL的執行耗時情況。
監控連接池的物理連接創建和銷毀次數、邏輯連接的申請和關閉次數、非空等待次數、PSCache命中率等。
其次，方便擴展。Druid提供了Filter-Chain模式的擴展API，可以自己編寫Filter攔截JDBC中的任何方法，可以在上面做任何事情，比如說性能監控、SQL審計、用戶名密碼加密、日誌等等。
Druid內置提供了用於監控的StatFilter、日誌輸出的Log系列Filter、防禦SQL注入攻擊的WallFilter。
阿里巴巴內部實現了用於資料庫密碼加密的CirceFilter，以及和Web、Spring關聯監控的DragoonStatFilter。
第三，Druid集合了開源和商業資料庫連接池的優秀特性，並結合阿里巴巴大規模苛刻生產環境的使用經驗進行優化。
ExceptionSorter。當一個連接產生不可恢復的異常時，例如Oracle error_code_28 session has been killed，必須立刻從連接池中逐出，否則會產生大量錯誤。只有Druid和JBoss DataSource實現了ExceptionSorter。
PSCache內存佔用優化對於支持游標的資料庫（Oracle、SQL Server、DB2等，不包括MySql），PSCache可以大幅度提升SQL執行性能。一個PreparedStatement對應伺服器一個游標，如果PreparedStatement被緩存起來重復執行，PreparedStatement沒有被關閉，伺服器端的游標就不會被關閉，性能提高非常顯著。在類似「SELECT * FROM T WHERE ID = ?」這樣的場景，性能可能是一個數量級的提升。但在Oracle JDBC Driver中，其他的資料庫連接池（DBCP、JBossDataSource）會佔用內存過多，極端情況可能大於1G。Druid調用OracleDriver提供管理PSCache內部API。
LRU是一個性能關鍵指標，特別Oracle，每個Connection對應資料庫端的一個進程，如果資料庫連接池遵從LRU，有助於資料庫伺服器優化，這是重要的指標。Druid、DBCP、Proxool、JBoss是遵守LRU的。BoneCP、C3P0則不是。BoneCP在mock環境下性能可能還好，但在真實環境中則就不好了。 Druid提供了MySql、Oracle、Postgresql、SQL-92的SQL的完整支持，這是一個手寫的高性能SQL Parser，支持Visitor模式，使得分析SQL的抽象語法樹很方便。
簡單SQL語句用時10微秒以內，復雜SQL用時30微秒。
通過Druid提供的SQL Parser可以在JDBC層攔截SQL做相應處理，比如說分庫分表、審計等。Druid防禦SQL注入攻擊的WallFilter就是通過Druid的SQL Parser分析語義實現的。 Druid提供Filter-Chain模式的插件框架，通過編寫Filter配置到DruidDataSource中就可以攔截JDBC的各種API，從而實現擴展。Druid提供了一系列內置Filter。

druidsql注入

與druidsql注入相關的內容