Come evitare i parametri forniti dall'utente con una query SQL?

Question

Provare a iniziare con JDBC (utilizzando Jetty + MySQL). Non sono sicuro di come sfuggire i parametri forniti dall'utente in un'istruzione SQL. Esempio:

String username = getDangerousValueFromUser(); 
Statement stmt = conn.createStatement(); 
stmt.execute("some statement where username = '" + username + "'")); 

Come uscire "nome utente" prima dell'uso con una dichiarazione?

Answer 1

Utilizzare Prepared statement.

ad esempio:

con.prepareStatement("update Orders set pname = ? where Prod_Id = ?"); 
pstmt.setInt(2, 100); 
pstmt.setString(1, "Bob"); 
pstmt.executeUpdate(); 

Sarà evitare l'iniezione SQL prime

Se si vuole sfuggire stringa SQL quindi controllare per StringEscapeUtils.escapeSql(). Si noti che questo metodo era deprecated in Commons Lang 3.

anche vedere

• does-using-preparedstatement-mean-there-will-not-be-any-sql-injection