Mysql之模糊查询防注入方法

需求：

sql like查询的时候有时候直接拼接容易被注入

解决方式：

利用concat方法

String sql="select * from student where name like concat('%'," + name + ",'%') ";

 

评论

3 楼 neijlw 2015-11-21  

小网客 写道

evanzzy 写道

使用preparedStatement进行数据库操作防注入这事儿还有人不知道么

有时候需要手动拼接 需求所致

推荐使用一个公用方法，对所有需要做数据查询的字符串进行过滤：

public static String toSql(String str){
    if (str==null || str.length()==0){
        return "";
    }
    if (str.indexOf("'")!=-1){
        str=str.replaceAll("'","");
    }
    return str;
}

2 楼 小网客 2015-11-17  

evanzzy 写道

使用preparedStatement进行数据库操作防注入这事儿还有人不知道么

有时候需要手动拼接 需求所致

1 楼 evanzzy 2015-11-17  

使用preparedStatement进行数据库操作防注入这事儿还有人不知道么