sql注入

关于sql注入


通常查找数据库执行语句 ：select * from user where name='admin' and  password='admin'
但是此类执行语句有肯能允许执行sql非法语句：delete from user where name='admin'--''
把有关用户名为"admin"的相关的名字删除掉。

可以使用
package com.dbOther;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import com.niit.tool.DBO;

public class UserDAOOther
{

static public boolean checkUser(String name,String pwd)
{
Connection conn=DBO.getConn();
Statement stat=null;
ResultSet rs=null;

try
        {
        stat=conn.createStatement();
        String sql = "select * from user where name='"+wrap(name)+"' and  password='"+wrap(pwd)+"'";
System.out.println("sql:"+sql);
        rs=stat.executeQuery(sql );
       
        if(rs.next())
        {
        return true;
        }
        }
        catch (SQLException e)
        {
        e.printStackTrace();
        }
        finally
        {
        DBO.close(rs,stat, conn);
        }


return false;

}

public static String wrap(String data)
{

char[] dataChars=data.toCharArray();

String result="";
for (int i = 0; i < dataChars.length; i++)
        {
if(dataChars[i]=='\\')
result+="\\\\";
else if(dataChars[i]=='-')
result+="\\-";
else if(dataChars[i]=='\'')
result+="\\'";
else
{
result+=dataChars[i];
}
        }
return result;

}



}
方法进行封装，可以解决次问题。

评论

1 楼 jinleix 2009-11-30  

我喜欢你的照片上的熊猫