java - 在 Java 和 MYSQL 中，当我们将文本插入数据库时​​，对文本进行编码是一种好习惯吗？

Question

让我们来看看这个场景:您有一个文本框，允许用户复制任何类型的文本(UTF8 或中文或阿拉伯字符)，然后是一个提交按钮以将该文本插入 MySQL 数据库。

通常，我使用 URLEncoder.encode(text,"UTF-8") 并且我的应用程序运行非常稳定；我从不担心用户是否插入了任何特殊字符，因为文本是经过编码的，所以当我阅读文本时，我只是对其进行解码，文本完全按照以前的方式出现。

但是有些人说我们可以在 MySQL 和 Tomcat 服务器或其他服务器中设置 UTF8，这样我们就不需要编码，但是这个解决方案需要配置，我讨厌配置，因为它不是一个非常好的解决方案。

此外，用户可以输入垃圾代码来破解数据库。

那么，在 Java 和 MYSQL 中，在将文本插入数据库时​​对文本进行编码是一种好习惯吗？

其他论坛的一些人说在数据库中存储编码文本非常糟糕，但他们没有说为什么不好。

所以这个问题就交给对Java和MySQL有丰富经验的人来回答吧!

Answer 1

将 URL 或 XML 编码的文本放入数据库的问题是查询和对该文本进行其他处理变得困难。

另一个问题是在不同的上下文中需要不同类型的转义。

... but this solution requires configuration & I hate configuration as it is not a very sound solution.

呃，断言配置“不是一个非常合理的解决方案”并不是一个理性的论点。绝大多数具有数据库组件的应用程序都需要某种数据库配置。

Besides, users can enter junk code to hack the DB.

真正解决SQL注入(inject)的方法是使用PreparedStatement并修复了 SQL 查询、插入、更新等字符串。对所有查询参数使用占位符并使用 PreparedStatement设置参数方法以提供它们的值。这将正确引用参数中的文本，以消除 SQL 注入(inject)攻击的可能性。

您需要担心的另一件事是人们使用未转义的 XML/HTML 元字符(如 <、> 和引号)对其他用户进行 XSS 攻击。解决这个问题的方法是在创建 HTML 时对文本进行转义。例如，您可以使用 <c:out>转义文本。

最后，HTML URL 编码的文本不能直接插入到 HTML 页面中。 URL 编码方案(使用 % 和 +)不是 HTML 页面中文本的正确编码方案。在那里你需要使用 &...;字符实体来编码事物。 %xx在文本中显示的内容与您在浏览器中显示网页时的内容完全相同。试试看!

---

回答评论中的问题:

iamthepiguy said "encode everything before putting it into Db", but u said "No". Suppose i put Html text into DB, there a lot of special characters & many other stuffs, how can we let Db to handle all of them, for example, if mysql doesn't recognize a char, it will turn to "?" & it means the text got corrupted, it mean the users lost that text. How Mysql handle all kind of special characters?

如果您使用带有所有文本参数占位符的 SQL 的 PreparedStatement，则 JDBC 驱动程序会自动处理转义。

Also, since there is a very diversity of UTF & special chars, so how many other things we need to worry if we do not encode text to make sure the system run stably?

同样的答案。

Encoded text make the system run a bit slower, but we are headache-free.

如果使用准备好的语句和 <c:out> 就不会让人头疼了(或等效的)。

you sid "The way to defeat that is to escape the text at the point you are creating the HTML." so we have to use Java to encode right?

是的，但是当您输出文本以包含在网页中时，您只能对文本进行 HTML 编码。如果将其输出为 JSON，则使用 JSON 转义进行编码……或者更可能的是，让 JSON 序列化程序为您完成。如果您以其他格式发送文本，或将其包含在其他内容中，则根据需要对其进行编码……或者根本不进行编码。

但重点是您不以编码形式将其存储在数据库中。如果这样做，那么在几乎所有情况下(包括 HTML!!)，您都需要在以正确的方式编码之前解码 HTML URL 编码的文本。