SQL 注入攻击

首先了解下概念，什么叫SQL 注入：

SQL注入攻击, 也被简称为SQL攻击或者注入攻击, 它是一种出现于应用程序之数据库层的安全漏洞所在情况。简单说, 就是于输入的字符串里注入SQL指令, 要是在设计欠佳的程序当中忽略了检查环节, 那么这些被注入进去的指令就会被数据库服务器误当作正常的SQL指令去运行, 进而因此遭到破坏或者被入侵。

我们在应用程序里, 最常用到的方式也就是运用字符串联结来组合 SQL 指令, 而那些心怀不轨之人, 就会去写一些特别的符号, 通过恶意改变原本 SQL 语法所具备的作用, 以此达成注入攻击的目的。

举个栗子：

比如验证用户登录需要 和 ，编写的 SQL 语句如下：

根据用户, 其中条件是, 名字（等于双引号加上两个空格再加上双引号）并且, 密码（等于双引号加上两个空格再加上单引号）。

和 字段被恶意填入

等于, 单引号一, 或者, 单引号一, 等于, 单引号一。

= "1' OR '1'='1";

将导致原本的 SQL 字符串被填为：

实际上运行的 SQL 语句将变成：

* from user;

也就是说, 不再需要凭借账密, 如此便能达成登录的目的, 其结果不言而喻。

解决 SQL 注入问题

我们在编写SQL语句期间, 难以避免地会运用模糊查询的办法。这儿供给了两种途径, 分别是#{}以及${}。

用一个占位符?来替代处于预处理时的参数部分, 此参数部分会被表示接受输入的 value 替代名字所替代, 而 value 代表接受输入参数的名称。这样子能够很有效地把 SQL　注入难题给解决。

{}用来表示运用拼接字符串, 把接收到参数的内容, 在不加任何修饰符的状况下, 拼接于SQL里, 运用{}进行SQL拼接, 会引发SQL注入问题。

举个栗子：

先查询数据库里表user当中的记录, 我们特意使用特殊符号, 瞧瞧能不能引发SQL注入, 在.xml配置文件里编写SQL语句, 一开始借由拼接字符串的形式, 看看结果是怎样的:

起始于用户, 处于这样的条件, 即类似 '% 那个值那种 %'。

注意在配置文件中编写 SQL 语句时，后边不需要加分号。

通过调用配置文件, 来编写测试文件, 接着 查询数据库内容, 运用特殊符号, 进而引起SQL注入。

看样子你提供的内容并不是规范且完整可完全理解的代码表述, 存在较多不明确和错误格式的地方, 很难按照要求准确改写。若你能修正或清晰说明一下这段内容, 我再为你尝试改写。

运行结果如下图所示：

可以看到执行语句其实变为了

* from user

被打印出来的是user表之中的所有记录, 出现了SQL注入这种情况。

要是把配置文件里头的SQL语句, 改作那种#{}的样式, 就能够防止SQL注入。

从用户那里, 在特定情况中, 类似那种, 以特定字符组合, 即包含特定字符，特定值, 特定分隔字符这种方式存在的情况。

再次运行测试程序，控制台输出如下：

能够瞧见程序里参数部分是以?,把 SQL 语句的问题妥善地给处理掉了,将 SQL 注入给防止住了。查询所得的结果会是为空的。