快捷導(dǎo)航

Java如何有效避免SQL注入漏洞的方法總結(jié)

更新時(shí)間：2022年01月04日 14:41:27 作者：LiveEveryDay

SQL注入是比較常見的網(wǎng)絡(luò)攻擊方式之一,它不是利用操作系統(tǒng)的BUG來(lái)實(shí)現(xiàn)攻擊,而是針對(duì)程序員編程時(shí)的疏忽,通過SQL語(yǔ)句,實(shí)現(xiàn)無(wú)帳號(hào)登錄,甚至篡改數(shù)據(jù)庫(kù),這篇文章主要給大家介紹了關(guān)于Java如何避免SQL注入漏洞的兩種方法,需要的朋友可以參考下

1、簡(jiǎn)單又有效的方法是使用PreparedStatement

采用預(yù)編譯語(yǔ)句集，它內(nèi)置了處理SQL注入的能力，只要使用它的setXXX（如：setString）方法傳值即可。

好處：

(1).代碼的可讀性和可維護(hù)性變好。

(2).PreparedStatement盡最大可能提高性能。

(3).最重要的一點(diǎn)是極大地提高了安全性。

原理：

SQL注入只對(duì)SQL語(yǔ)句的編譯過程有破壞作用，而PreparedStatement的SQL語(yǔ)句編譯階段已經(jīng)準(zhǔn)備好了，執(zhí)行階段只是把輸入串作為數(shù)據(jù)處理，而不再對(duì)SQL語(yǔ)句進(jìn)行解析、準(zhǔn)備，因此也就避免了SQL注入問題。

一些熱門ORM框架在處理SQL時(shí)候也都使用了PreparedStatement，比如MyBatis。

我們?cè)谑褂肕yBatis要注意：在注入?yún)?shù)值得時(shí)候使用#{xxx}，#{xxx}已經(jīng)啟用了預(yù)編譯功能，在SQL執(zhí)行前，會(huì)先將上面的SQL發(fā)送給數(shù)據(jù)庫(kù)進(jìn)行編譯；執(zhí)行時(shí)，直接使用編譯好的SQL，替換占位符“?”就可以了。因?yàn)镾QL注入只能對(duì)編譯過程起作用，所以這樣的方式就很好地避免了SQL注入的問題。

“${xxx}”這樣格式的參數(shù)會(huì)直接參與SQL編譯，從而不能避免注入攻擊。

有時(shí)有些操作要使用這種方式，比如傳入表，模糊匹配等。這時(shí)可以使用bind+#{}防止SQL注入（#{}進(jìn)行預(yù)編譯，傳遞的參數(shù)不進(jìn)行編譯，只作為參數(shù)，相當(dāng)于PreparedStatement）。

bind元素可以從OGNL表達(dá)式中創(chuàng)建一個(gè)變量并將其綁定到上下文。比如：

<select id="selectBlog" resultType="Blog">
<bind name="pattern" value="'%' + _parameter.getTitle() + '%'" />
SELECT * FROM BLOG WHERE title LIKE #{pattern}
</select>

2、使用過濾器

如果我們做不到所有的SQL語(yǔ)句都使用PreparedStatement，我們可以使用過濾器，進(jìn)行全局的攔截這些字符串。在過濾器中，使用正則表達(dá)式過濾傳入的參數(shù)。使用正則表達(dá)式，判斷是否匹配：

String begin="您的請(qǐng)求參數(shù)信息";
 
//可以通過配置文件，去配置這些特殊字符，以便隨時(shí)添加一些關(guān)鍵字。
String pattern="|and|exec|execute|insert|select|delete|update|count|drop|*|%|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|;|or|-|+|,|like";
 
Pattern r = Pattern.compile(pattern);
Matcher isMatch = r.matcher(begin);
if(isMatch.find()){
    //危險(xiǎn)請(qǐng)求參數(shù)
}

防止sql注入的一些建議

1. 代碼層防止sql注入攻擊的最佳方案就是sql預(yù)編譯

public List<Course> orderList(String studentId){
    String sql = "select id,course_id,student_id,status from course where student_id = ?";
    return jdbcTemplate.query(sql,new Object[]{studentId},new BeanPropertyRowMapper(Course.class));
}

這樣我們傳進(jìn)來(lái)的參數(shù) 4 or 1 = 1就會(huì)被當(dāng)作是一個(gè)student_id，所以就不會(huì)出現(xiàn)sql注入了。

2. 確認(rèn)每種數(shù)據(jù)的類型，比如是數(shù)字，數(shù)據(jù)庫(kù)則必須使用int類型來(lái)存儲(chǔ)

3. 規(guī)定數(shù)據(jù)長(zhǎng)度，能在一定程度上防止sql注入

4. 嚴(yán)格限制數(shù)據(jù)庫(kù)權(quán)限，能最大程度減少sql注入的危害

5. 避免直接響應(yīng)一些sql異常信息，sql發(fā)生異常后，自定義異常進(jìn)行響應(yīng)

6. 過濾參數(shù)中含有的一些數(shù)據(jù)庫(kù)關(guān)鍵詞