SQL注入漏洞原理 - 黑马程序员技术交流社区

[Java] 纯文本查看 复制代码
/**



* 系统中安全性是非常重要的，为了保证安全性很多解决方案被应用到系统中，



* 比如架设防火墙防止数据库服务器直接暴露给外部访问者、使用数据库的授权机制防止未授权的用户访问数据库，



* 这些解决方案可以很大程度上避免了系统受攻击，但是如果开发人员不注意SQL的安全性造成了SQL注入漏洞，



* 那么所有的这些解决方案都形同虚设了，因为通过SQL注入漏洞，恶意访问者可以堂而皇之的对数据库进行任意操作，



* 因为恶意访问者破坏数据库时所使用的一切操作都看起来是合法。我们来看一下什么是SQL注入漏洞。 例如:查找用户名跟密码,匹配则登录, SELECT



* (name,password) FROM user WHERE name='123456' AND password='123456' OR



* 1=1;这个式子表示不管密码是什么,同样能登录,这样恶意攻击者则使用任何账户都可以登录



* 针对以上问题:可以通过过滤敏感字符或者使用参数化的SQL



* 在实际开发过程中一般是开发人员提供一个界面，允许用户输入用户名和密码，



* 然后程序读取用户输入用户名和密码来构造SQL语句来校验用户名和密码是否正确。实现的代码如下：



*/