JDBC_Statememt注入

SQL的Statement注入 当用户输入的查询条件里含有sql的关键字时： String name1 ="'or  1 or '"; String sql = "SELECT name,owner FROM pet WHERE name ='"+name1+"'";//拼串方式 则替换后的sql语句变为： SELECT name,owner FROM pet WHERE name =''or  1 or ''； 则where后的条件恒为真，会选出所有的记录，造成数据库的不安全 解决方案： 将以下代码： Statement st = conn.createStatement(); ResultSet rs = st.executeQuery("SELECT name,owner FROM pet WHERE name ="+name1+""); 替换为：

   String sql = "SELECT name,owner FROM pet WHERE name=?";    PreparedStatement ps = conn.prepareStatement(sql);      ps.setString(1,name1); //表示将第一个问号替换成name1;    rs = ps.executeQuery();//没有参数，PreparedStatement继承自Statement重载executeQuery()没有参数 当sql语句没有查询条件（增删改查）或者查询条件固定时可以用Statement，sql语句带String参数时要用PreparedStatement,它会对sql语句里的特殊字符进行预处理。