hibernate里的查询SQL如何做好防SQL注入？

[zznj1123]

hibernate里的查询SQL如何做好防SQL注入？期盼答复。

[zznj1123]

好 谢谢楼上的兄弟 受教了

[頑笑]

楼主客气。

[wenlong27]

加入（54998705）web技术交流群，希望我们有更多机会相互学习交流

[Dreamsea_2008]

up

[APOLLO_TS]

FROM TABLE WHERE ABC=?

传进变量变成 'xxx'
FROM TABLE WHERE ABC='xxx'
注入 “5 or 1=1”
也按照‘5 or 1=1’

如果传入‘就说有非法字符串

[huaming_fly]

顶顶

[頑笑]

[Quote=引用 2 楼 APOLLO_TS 的回复:]
FROM TABLE WHERE ABC=?

传进变量变成 'xxx'
FROM TABLE WHERE ABC='xxx'
注入 “5 or 1=1”
也按照‘5 or 1=1’

如果传入‘就说有非法字符串
[/Quote]
当然，可以在客户端做判断，但是这样会降低用户体验，毕竟没有人说‘就不能输入。

这个问题解决的方案至少有两个：
1.使用hql语句查询，例如可以使用下面的语句(写在相应的DAO中)

public List findByProperty(String propertyName, Object value) {
		log.debug("finding CmHoliday instance with property: " + propertyName
				+ ", value: " + value);
		try {
			String queryString = "from CmHoliday as model where model."
				+ propertyName + "= ?";
			return getHibernateTemplate().find(queryString, value);
		} catch (RuntimeException re) {
			log.error("find by property name failed", re);
			throw re;
		}
	}

而不要采取拼查询语句的方法。
2.使用离线查询对象DetachedCriteria来进行查询，例如可以使用下面的语句(写在相应的DAO中)

/**
	 * 根据节假日编号、开始日期和截止日期模糊查询
	 * @param holidayId
	 * @param holidayStartingTime0
	 * @param holidayStartingTime1
	 * @param holidayDeadLine0
	 * @param holidayDeadLine1
	 * @return List
	 */
	public List findByCondition(String holidayId, String holidayStartingTime0, String holidayStartingTime1, String holidayDeadLine0, String holidayDeadLine1) {
		DetachedCriteria detachedCriteria = DetachedCriteria.forClass(CmHoliday.class);

		detachedCriteria.add(Restrictions.like("holidayId", holidayId, MatchMode.ANYWHERE));
		if(holidayStartingTime0 != null && !holidayStartingTime0.equals("")) {
			Date holidayStartingTime = Date.valueOf(holidayStartingTime0);
			detachedCriteria.add(Restrictions.ge("holidayStartingTime", holidayStartingTime));
		}
		if(holidayStartingTime1 != null && !holidayStartingTime1.equals("")) {
			Date holidayStartingTime = Date.valueOf(holidayStartingTime1);
			detachedCriteria.add(Restrictions.le("holidayStartingTime", holidayStartingTime));
		}
			
		if(holidayDeadLine0 != null && !holidayDeadLine0.equals("")) {
			Date holidayDeadLine = Date.valueOf(holidayDeadLine0);
			detachedCriteria.add(Restrictions.ge("holidayDeadLine", holidayDeadLine));
		}
		if(holidayDeadLine1 != null && !holidayDeadLine1.equals("")) {
			Date holidayDeadLine = Date.valueOf(holidayDeadLine1);
			detachedCriteria.add(Restrictions.le("holidayDeadLine", holidayDeadLine));
		}
		
		List searchedList = findByCriteria(detachedCriteria);

		return searchedList;
	}

希望对你有启发。