如何屏蔽引号

2009-05-10 10:46:49 136 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

银河麒麟V10系统下VLC播放器安装全攻略（附3.0.9.2版本离线包下载）本文详细介绍了在银河麒麟V10操作系统无网络环境下，从零开始编译安装VLC 3.0.9.2播放器的完整攻略。通过构建本地YUM仓库解决依赖问题，提供离线资源包下载，并逐步指导完成编译环境配置、软件编译与安装，帮助用户在国产麒麟系统上成功部署强大的多媒体播放能力。阅读详情

有些黑客，利用SQL的注入漏洞来入侵网站，

有什么好的方法可以防止SQL的注入漏洞呢？

有的人说屏蔽引号，这又是怎么做到得呢？

...全文

【微信小程序开发与设计】垃圾智能分类小程序垃圾分类是将来生活可持续发展的必需项。但是很多人由于缺乏垃圾分类知识，或是因为垃圾分类困难，费时费力，所以没有好好贯彻垃圾分类政策，此时设计一款方便于群众进行智能化垃圾识别分类的微信小程序就显得尤为必要。阅读详情

qiheia

Web 开发 81,108 成员 341,721 内容

+ 关注 + 加入社区

切换为时间正序

火龙果被占用了 2009-05-11

打赏
举报

不会吧，如果在 Hibernate 中是拼接 HQL/SQL 语句的话同样会引起 SQL 注入的漏洞。

不管使用 JDBC 还是 Hibernate 或者 iBatis, JPA 都应采用占位符，而不是采用拼接的方式，
这样做的好处（也就是 PreparedStatement 较之于 Statement 的优势）：

1，采用 PreparedStatement 占位符 ? 的方式，可以有效地防止 SQL 注入攻击；
2，采用占位符形式，在代码上有良好的可读性，特别是在字符串条件比较多的时候，如果采用拼接 SQL 法，
单引号会让人晕掉；
3，采用占位符的形式，由于是数据库先将 SQL 编译之后，再设置值的，这样可以让数据库对 SQL 进行缓存，
以提高 SQL 执行的效率。采用拼接法，由于每次执行的条件值不一样，这样数据库每次都得去编译 SQL，
数据库没有办法对 SQL 进行缓存处理。

lgq_0714 2009-05-11

打赏
举报

使用Statement是不安全的容易引起SQL注入问题，
因为Statement执行的是静态的SQL语句（String sql=”select * from user where username=’”+username+”’ and password=’”+password+”’”）Username和password都等于1’ or ‘1’=’1这样任何情况下都是正确的）
方法一：对参数进行检测
方法二：使用PreparedStatement对象，在构造SQL语句的书后使用预编译的方法
String SQL=”select * from user where username=? and password=? ”;
这样他就会将其中的可以字符作为一个字符串整体来考虑，而不会和SQL语句连接起来作为一个SQL语句组合