java - 如何防止我的网站受到 sql 注入(inject)？支柱

Question

如何防止我的网站进行sql注入(inject)

我正在使用 Struts 2 、DB MY sql 。

Answer 1

我认为最好的方法是不要重新发明轮子并使用现有的工具。对于小型项目，我建议在查询数据库时简单地使用准备好的语句。

http://docs.oracle.com/javase/7/docs/api/java/sql/PreparedStatement.html

您还可以考虑使用像 Hybernate 这样的 ORM。但请确保按预期使用它。甚至 HQL 也可能容易受到注入(inject)。请参阅:how much safe from SQL-Injection if using hibernate

重要的是不要通过将查询字符串与来自不受信任来源的值连接来编写自己的 native 查询。