在Java或Spring 2中有没有一种方法去除某些字符以防止SQL注入？

我要寻找类似于在PHP中用来防止SQL注入对Spring 2的方法是否有任何或因此我需要做一个在Java或Spring 2中有没有一种方法去除某些字符以防止SQL注入？

2013-12-09 code511788465541441

只需创建良好的理智查询，并且不会在查询中串联简单的'字符串'。此外，使用'PreparedStatement'而不是'Statement'（以防直接使用JDBC）。 –

我同意，'PreparedStatement'是避免SQL注入攻击的方法，不会去除某些字符。 –

只是为了重申，使用了PreparedStatements。 SQL方面，它们的处理方式与有意防止SQL注入的普通查询不同。 - 编辑时，确保在重复执行PreparedStatements时，通过使用.clearParamters（）并重置值，或者强制SQL引擎每次重新生成执行计划，都可以重用PreparedStatements。这仍然可以防止SQL注入，但如果不适当地重用它们，性能会受到影响。 –

从OWASP site on this very question：“SQL注入的最佳途径是使用防止的parameterized queries“。

剔除字符更符合你想要防止cross site scripting (XSS)要做的事情。

来源

2013-12-11 18:25:55 Jay

在Java或Spring 2中有没有一种方法去除某些字符以防止SQL注入？

回答

相关问题