水无月白_yy 2020-08-27 15:31 采纳率: 0%
浏览 153
已采纳

请教关于PreparedStatement为什么能解决 sql注入的问题?通俗一点

 public void login3() throws Exception {
        //定义变量保存用户名和密码
        String user_name = "zhangsan' -- ";
        String pwd = "1239181iaua";
        //1.获取连接
        Connection conn = JDBCUtils01.getConnection();
        //2.获取预编译接口对象
        /*
            PreparedStatement prepareStatement(String sql) 创建一个 PreparedStatement 对象来将参数化的 SQL 语句发送到数据库。
            参数:sql表示预编译的sql语句,含有占位符
         */
        PreparedStatement pst = conn.prepareStatement("SELECT * FROM user WHERE username=? AND password=?");
        //3.给占位符赋值
        /*
            void setString(int parameterIndex, String x) 将指定参数设置为给定 Java String 值。
            参数:
                parameterIndex:parameterIndex - 第一个占位符是 1,第二个占位符是 2,……
                x:给占位符赋的实际值
         */
        pst.setString(1,user_name);//第一个参数1表示给上述sql语句中第一个占位符  user_name 表示赋的实际值
        pst.setString(2,pwd);//第一个参数2表示给上述sql语句中第2个占位符  pwd 表示赋的实际值
        //4.将数据发送给数据库使用预编译接口PreparedStatement中的方法:
        //ResultSet executeQuery()
        ResultSet rs = pst.executeQuery();
        //5.处理结果集
        if(rs.next()){
            //取出数据
            int id = rs.getInt("id");
            String username = rs.getString("username");
            String password = rs.getString("password");
            System.out.println("登录成功:id:"+id+",username:"+username+",password:"+password);
        }else{
            System.out.println("用户名或者密码错误");
        }
  • 写回答

2条回答 默认 最新

  • threenewbee 2020-08-27 15:49
    关注

    主要是避免了参数拼接。
    "SELECT * FROM user WHERE username=" + user_name + " AND password=" + pwd;
    这种情况,如果user_name是 '' or 1 = 1
    那么就会返回所有的数据

    但是PreparedStatement参数是单独提交给数据库系统的,不经过拼接,不能构成查询的一部分,所以没问题。

    问题解决的话,请一定记得采纳下我的回答

    本回答被题主选为最佳回答 , 对您是否有帮助呢?
    评论
查看更多回答(1条)

报告相同问题?

悬赏问题

  • ¥40 如果update 一个列名为参数的value
  • ¥15 基于51单片机的水位检测系统设计中LCD1602一直不显示
  • ¥15 OCS2安装出现问题,请大家给点意见
  • ¥15 有没有大能能帮我出个适应度函数图,T_T
  • ¥15 ros小车启动launch文件报错
  • ¥15 vs2015到期想登陆但是登陆不上
  • ¥15 IPQ5018制作烧录固件,boot运行失败(操作系统-linux)(相关搜索:操作系统)(相关搜索:操作系统)
  • ¥20 icefall在librispeech基础上加入个人数据集
  • ¥30 keepalive高可用故障运维配置询问
  • ¥15 求帮助!国家电网内网u盘突然识别不出来了。