java - 使用正则表达式阻止 jtextfield 中的 SQL 注入(inject)条目

Question

还有其他方法可以使用正则表达式阻止文本字段中的 SQL 注入(inject)吗？这是我用来阻止一些特殊字符的:

private static final String PATTERN =
        "([^A-Za-z0-9.,'\"% _-]+)";

正如我所说，有一些。如果可能的话，我想阻止所有内容，并且只想使用正则表达式。请帮忙。 :)

Answer 1

正确的方法是使用 PreparedStatement 来执行查询。它将处理可能的注入(inject)。

<小时/>

您可以找到文档 here和教程here

举个例子，在设置数据库连接后，使用如下内容:

// add exception handling where necessary
PreparedStatement insertStmt = null;

String query = "INSERT INTO sometable"
            + "(name, value) VALUES"
            + "(?,?)"; //here the question marks stand for parameters 
insertStmt = dbConnection.prepareStatement(query);
insertStmt.setString(1, "somename"); //set the first param
insertStmt.setInt(2, value); // set the second param

insertStmt.executeUpdate();