Java面试题解析之判断以及防止SQL注入

1. 概述

在Java Web开发中，对于经常与数据库打交道的应用，我们不可避免地要使用数据库操作来实现数据的增删改查等功能，最常用的是使用JDBC来进行数据库操作。然而，使用JDBC进行数据库操作时，如果不对用户输入的参数进行判断和转义处理，就会存在SQL注入的攻击风险，导致数据泄露、篡改甚至是服务器崩溃等问题。本篇文章主要分享如何判断输入参数是否存在安全隐患并详细介绍如何避免SQL注入攻击。

2. 判断输入参数是否存在安全隐患

对于用户可能会直接或者间接地传输到JDBC SQL语句中的参数值，忽略可能的转义操作，会产生SQL注入攻击风险。下面是判断输入参数是否存在安全隐患的方法。

2.1 安全参数化

在执行SQL语句之前，使用安全参数化来过滤输入的参数。将用户提交的参数用占位符替代SQL语句中的实际变量，并将用户提交的参数作为预准备语句的参数，这样可以保证输入参数的安全性，防止SQL注入的发生。下面是一个实例:

PreparedStatement pstmt = conn.prepareStatement("SELECT * FROM user WHERE username=? AND password=?");
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

2.2 输入检查

需要开发人员进行输入检查，对非法输入进行过滤和拒绝。限定用户输入的类型和长度，防止恶意输入破坏系统。

3. 防止SQL注入攻击

防止SQL注入攻击，主要是关注用户输入的SQL语句以及SQL语句中的特殊字符。对于数据库的输入进行处理，以保证安全性。下面是几个具体的实例：

3.1 防止SQL注入攻击的示例1

以下示例展示了如何避免SQL注入攻击的基本实现。

String sql = "SELECT * FROM user WHERE username='" + antiInjectSQL(username) + "' AND password='" + antiInjectSQL(password) + "';";

为了防止SQL注入，我们将编写 antiInjectSQL() 函数来过滤输入参数。该示例中 antiInjectSQL() 函数可以根据需求进行合适的修改，但是不能忘记使用预准备语句来保护数据安全。

public static String antiInjectSQL(String str) {
    return str.replaceAll(".*([';]+|(--)+).*", " ");
}

3.2 防止SQL注入攻击的示例2

以下示例展示了如何使用白名单来避免SQL注入攻击。

public static boolean isSqlValueSafe(String sqlValue) {
   String safeValue = sqlValue.toLowerCase();
   String tmp = safeValue.replaceAll("subquery\\b", "");
   if (!safeValue.equals(tmp)) {
       return false;
   }
   tmp = safeValue.replaceAll("sin\\b", "");
   if (!safeValue.equals(tmp)) {
       return false;
   }
   tmp = safeValue.replaceAll("cos\\b", "");
   if (!safeValue.equals(tmp)) {
       return false;
   }
   return true;
}

该示例中通过过滤白名单内的SQL特定字符串来防止SQL注入攻击。要根据具体情况增加白名单元素。