⑴ java里拼接sql怎么防注入
最简单最容易的是限制用户输入。简单点的就是不允许用户输入单引号 和 --，因为单引号号--在SQL中都是影响执行的，两种方式一种是在JSP中加判断：
3
另一种是在SQL拼接是对单引号和--等进行转义，str = str.replace("'", "''");
⑵ 什么是sql注入如何防止sql注入
SQL注入是一种非常常见的数据库攻击手段，同时也是网络世界中最普遍的漏洞之一，简单理解就是恶意用户通过在表单中填写包含SQL关键字的数据来使数据库执行非常规代码的过程。
问题来源是，SQL数据库的操作是通过SQL语句来执行的，而无论是执行代码还是数据项都必须写在SQL语句中，也就导致如果我们在数据项中加入了某些SQL语句关键字，比如SELECT、DROP等，这些关键字就很有可能在数据库写入或读取数据时得到执行。
解决方案
方案一：
采用预编译技术
使用预编译的SQL语句，SQL语句的语义不会是不会发生改变的。预编译语句在创建的时候就已经将指定的SQL语句发送给了DBMS，完成了解析，检查，编译等工作，所以攻击者无法改变SQL语句的结构，只是把值赋给?，然后将?这个变量传给SQL语句。当然还有一些通过预编译绕过某些安全防护的操作，大家感兴趣可以去搜索一下。
方案二：
严格控制数据类型
在java、c等强类型语言中一般是不存在数字型注入的，因为在接受到用户输入id时，代码一般会做一个int id 的数据类型转换，假如我们输入的是字符串的话，那么这种情况下，程序就会报错。但是在PHP、ASP这些没有强调处理数据类型的语言，一般我们看到的接收id的代码都是如下等代码。
方案三：
对特殊的字符进行转义
数字型注入可以通过检查数据类型防止，但是字符型不可以，那么怎么办呢，最好的办法就是对特殊的字符进行转义了。比如在MySQL中我们可以对" '
"进行转义，这样就防止了一些恶意攻击者来闭合语句。当然我们也可以通过一些安全函数来转义特殊字符。如addslashes()等，但是这些函数并非一劳永逸，攻击者还可以通过一些特殊的方式绕过。
⑶ sql注入如何预防
数据库注入其实就是利用字符串的拼接，你这样写是很容易被字符串拼接注入的，
我们老师教我们的就是用预处理的方式，关键代码如下（这是我原来写过的一个查商品的代码），不懂的可以继续问我：
private PreparedStatement pstmt=null; //preparedStatement是预编译的
String sql="insert into goods(name,price,count) values(?,?,?)";
this.pstmt=this.con.prepareStatement(sql);
this.pstmt.setString(1, goods.getName());
this.pstmt.setInt(2, goods.getPrice());
this.pstmt.setInt(3, goods.getCount());
if(this.pstmt.executeUpdate()>0){
flag=true;
}
还是推荐你个连接吧，共同学习了
http://www.cnblogs.com/raymond19840709/archive/2008/05/12/1192948.html
⑷ 如何从根本上防止 SQL 注入
也许可以这样回答你，如果能保证应用不使用“用户输入的字符串”来拼接成为 “向SQL 服务器发送的SQL执行字符串” 的话，就可以从根本上防止SQL注入。
一、SQL语言的机理：
1、当前主流的几大数据库服务器的数据存、取、汇总控制，都使用一种文本语句“SQL”语句。
2、当客户端需要数据，或需要发送数据，或需要汇总数据时，都可以向数据库发送这种标准的描述性文本，比如向数据库发送 “select * from bas1.dbo.tab1”就是告诉数据库，我要取“数据库bas1”中的“tab1”表中的 所有字段（用“*”通配来代表）的所有记录（因为没有加限制条件）。
二、产生SQL注入的基础：
1、如果客户端设计者没有关注SQL注入方面的问题，就有可能在将用户输入进行拼接成SQL语句，并发送到服务器端时，产生恶意的SQL可执行语句。
2、举例说明：某个网页上有个修改用户密码口令的功能，正常情况下下，用户输入原口令，与将要改成的口令，然后对用户进行修改。用户正常情况下输入简单的字串作为口令，比如“abcdef”，最终，合成向服务器发送的语句可能为：
update UserTab set password = 'abcdef' where id=222
3、然而，有个人很淘气，它输入的字串为
abcdef' --
那么，合成的发送给服务器的语句就成了：
update UserTab set password = 'abcdef' --‘ where id=222
这条句语一但发向服务器，其结果是，所有的人的密码都将变成 abcdef。
4、当然了，上面只是举了一个例子，以便于你理解什么是SQL注入。
（绝大多数应用的口令字串都是要进行加密的，所以，这个例子起仅在：
初级用户写的，明文存密码，没有注意SQL注入。这些条件合适时才起作用。）
5、同理，你可以想出很多的相关的东西，比如在修改用户姓名的地方……
三、防止SQL注入的一些办法：
1、客户端接收到用户输入后，进行一次核查，不让用户输入能产生SQL歧义的字符。比如禁止使用任何英文符号作为密码、姓名等等。
2、尽可能减少用户的直接字符的输入，通配查询，等。
⑸ oracle拼接sql字符串,怎样防止sql注入
用replace函数替换
把 ' 替换成 空
⑹ 字符串拼接不能有效防止sql注入吗，该怎么解决
可以防止啊
只要严格控制输入字符串的格式和大小，每次都接受的数据，进行检测，发现非法的数据，进行相关处理
⑺ java拼接sql怎么防止注入
使用Hibernate框架的SQL注入防范 Hibernate是目前使用最多的ORM框架，在Java Web开发中，很多时候不直接使用JDBC，而使用Hibernate来提高开发效率。
在Hibernate中，仍然不应该通过拼接HQL的方式，而应使用参数化的方式来防范SQL注入。有两种方式，一种仍然是使用JDBC一样的占位符“?”，但更好的方式是使用Hibernate的命名参数，例如检测用户名和密码是否正确，使用Hibernate可以写成：
String queryStr = “from user where username=:username ”+”password=:password”;
List result = session.createQuery(queryStr).setString("username", username).setString("password", password).list();
⑻ 什么是SQL注入，如何防止SQL注入
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．x0dx0a防护x0dx0a归纳一下，主要有以下几点：x0dx0a1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和x0dx0a双"-"进行转换等。x0dx0a2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。x0dx0a3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。x0dx0a4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。x0dx0a5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装x0dx0a6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。
⑼ 网站如何防止sql注入攻击的解决办法
首先我们来了解下什么是SQL注入，SQL注入简单来讲就是将一些非法参数插入到网站数据库中去，执行一些sql命令，比如查询数据库的账号密码，数据库的版本，数据库服务器的IP等等的一些操作，sql注入是目前网站漏洞中危害最大的一个漏洞，受攻击的网站占大多数都是sql注入攻击。
sql注入攻击用英语来讲Structured Query Language，在网站的编程语言当中是一种比较另类的网站开发语言，我们网站安全行业通常来讲sql是用来数据库查询的一种网站开发语言，同时也是一种脚本文件的一个文件名，通俗来讲sql就是用来对网站的数据库进行查询，以及增加，写入，更新数据库的一个sql数据库操作。
关于数据库我们分为2种数据库，一种是关系数据库，非关系数据库，那么目前网站使用的都是关系数据库，关系数据库分为sql数据库，microsoft sql server数据库，ACC数据库，mysql数据库，oracle数据库，DB2数据库，postgresql数据库等等的关系数据库，非关系数据库分为nosql数据库，可以存储很大数据，针对于一些并发较高，存储较多，云计算的场景，频繁读取写入的数据库，像memcachedb,redis,mongodb等等非关系数据库。
那么什么是sql注入呢？ 简单来讲就是对网站强行进行插入数据，执行sql恶意语句对网站进行攻击，对网站进行sql注入尝试，可以获取一些私密的信息，像数据库的版本，管理员的账号密码等等。
关于如何防止sql注入攻击，我们从以下几点开始入手
首先我们可以了解到sql注入攻击都是通过拼接的方式，把一些恶意的参数拼接到一起，然后在网站的前端中插入，并执行到服务器后端到数据库中去，通常我们在写PHP网站代码的时候会将get ID这个参数值获取到后直接拼接到后端服务器中去，查询数据库，但是如果拼接了一些恶意的非法参数，那么久可以当做sql语句来执行，如果防止sql注入呢？
为了防止网站被sql注入攻击，我们应该从一开始写代码的时候就应该过滤一些sql注入的非法参数，将查询的一些sql语句，以及用户输入的参数值都以字符串的方式来处理，不论用户输入的什么东西，在sql查询的时候只是一段字符串，这样构造的任何恶意参数都会以字符串的方式去查询数据库，一直恶意的sql注入攻击就不会被执行，sql注入语句也就没有效果了，再一个就是网站里的任何一个可以写入的地方尽可能的严格过滤与限制，漏下一个可以输入的地方网站就会被攻击，网站就会被黑，所有做的网站安全就会没有效果，包括一些get,post,cookie方式的提交都是不可信的，像数据表里referer user-agent等字段都是可以伪造，写入sql注入语句的，像前端时间爆发的ecshop漏洞利用的就是user.php,伪造referer参数进行了sql注入，执行了远程代码。
再一个防止sql注入的方法就是开启PHP的魔术配置，开启安全配置模式，将safe_mode开启on.以及关闭全局变量模式，register_globals参数设置为on,magic_quotes_gpc参数开启，防止sql注入.如果对网站防止sql注入不懂的话，也可以找专业的网站安全公司来做安全，防止sql注入。