如何预防SQL注入

曾经做过一次SQL注入的training,下面是"如何预防SQL注入"部分

1.不要信赖用户的输入,客户端的验证是不可靠的,要在服务端验证客户的数据
2.程序中尽量不要使用Admin帐号去操作数据库,要给予严格的权限控制.就像客户给我们的Win7机器,永远都只是受限制的,需要什么新的权限,都要申请
3.一些重要的字段,比如密码,应该加密后保存在数据库中
4.当页面上有错误发生时,不要暴露原始的错误信息,要显示定制化的页面
5.对于数据库中的存储过程,如果用不到,而且具有危险性,则最好删除它们,当然这个需要DBA的帮助
6.在Java中,使用PreparedStatement,形式如下:

stringsql = "select * from people p where p.id = ? and p.name = ?";
　　preparedstatement ps = connection.preparestatement(sql);
　　ps.setint(1,id);
　　ps.setstring(2,name);
　　resultset rs = ps.executequery();

Java web应用中,应该始终以PreparedStatement代替Statement.也就是说,在任何时候都不要使用Statement