Как избежать пользовательских параметров с помощью SQL-запроса?

Question

Попытка начать работу с JDBC (используя Jetty + MySQL). Я не уверен, как избежать пользовательских параметров в SQL-заявлении. Пример:

String username = getDangerousValueFromUser(); 
Statement stmt = conn.createStatement(); 
stmt.execute("some statement where username = '" + username + "'")); 

Как избежать «имени пользователя» перед использованием с заявлением?

Answer 1

Использование Prepared statement.

, например:

con.prepareStatement("update Orders set pname = ? where Prod_Id = ?"); 
pstmt.setInt(2, 100); 
pstmt.setString(1, "Bob"); 
pstmt.executeUpdate(); 

Это предотвратит RAW SQL-инъекции

Если вы хотите, чтобы избежать SQL-строку, то проверить StringEscapeUtils.escapeSql(). Обратите внимание, что этот метод был deprecated in Commons Lang 3.

Смотрите также

• does-using-preparedstatement-mean-there-will-not-be-any-sql-injection