1. 強(qiáng)制使用 PreparedStatement（參數(shù)化查詢）

原理：將 SQL 語(yǔ)句結(jié)構(gòu)與用戶輸入數(shù)據(jù)分離，確保輸入內(nèi)容始終作為“數(shù)據(jù)”處理，而非可執(zhí)行的代碼。

正確示例：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
try (Connection conn = dataSource.getConnection();
     PreparedStatement pstmt = conn.prepareStatement(sql)) {
    
    pstmt.setString(1, username); // 自動(dòng)轉(zhuǎn)義特殊字符（如 ' -> \'）
    pstmt.setString(2, password);
    
    try (ResultSet rs = pstmt.executeQuery()) {
        // 處理結(jié)果
    }
}

錯(cuò)誤做法（高危?。?/h3>

// 直接拼接 SQL（存在注入風(fēng)險(xiǎn)?。?
String sql = "SELECT * FROM users WHERE username = '" + username + "'";
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(sql);

2. 使用 ORM 框架（如 Hibernate/JPA）

ORM 框架會(huì)自動(dòng)生成參數(shù)化查詢，減少手寫 SQL 的注入風(fēng)險(xiǎn)。

Hibernate 示例：

// 使用 Hibernate Criteria API
CriteriaBuilder cb = session.getCriteriaBuilder();
CriteriaQuery<User> query = cb.createQuery(User.class);
Root<User> root = query.from(User.class);

query.where(
    cb.equal(root.get("username"), username),
    cb.equal(root.get("password"), password)
);

User user = session.createQuery(query).uniqueResult();

HQL 參數(shù)化：

String hql = "FROM User WHERE username = :username";
Query<User> query = session.createQuery(hql, User.class);
query.setParameter("username", username);
User user = query.uniqueResult();

3. 輸入驗(yàn)證與過濾

白名單校驗(yàn)：

// 校驗(yàn)用戶名是否符合規(guī)則（僅允許字母、數(shù)字、下劃線）
if (!username.matches("^[a-zA-Z0-9_]{4,20}$")) {
    throw new IllegalArgumentException("Invalid username");
}

轉(zhuǎn)義特殊字符（備用方案）：

如果必須拼接 SQL（如動(dòng)態(tài)表名），需嚴(yán)格過濾：

// 使用 Apache Commons Text 轉(zhuǎn)義
String safeInput = StringEscapeUtils.escapeSql(input); // 僅適用于簡(jiǎn)單場(chǎng)景，不推薦依賴！

4. 避免動(dòng)態(tài)拼接 SQL

高危場(chǎng)景：動(dòng)態(tài)表名、列名等無法通過 PreparedStatement 參數(shù)化。
安全做法：使用白名單校驗(yàn)合法值：

// 動(dòng)態(tài)表名校驗(yàn)（只允許預(yù)定義的合法表名）
Set<String> validTables = Set.of("users", "products");
if (!validTables.contains(tableName)) {
    throw new IllegalArgumentException("Invalid table name");
}
String sql = "SELECT * FROM " + tableName; // 此時(shí)拼接是安全的

5. 數(shù)據(jù)庫(kù)配置與權(quán)限

• 最小權(quán)限原則：應(yīng)用使用的數(shù)據(jù)庫(kù)賬號(hào)應(yīng)僅擁有 SELECT、INSERT、UPDATE 等必要權(quán)限，禁止 DROP、GRANT 等高危操作。

• 禁用敏感函數(shù)：如 MySQL 的 LOAD_FILE、INTO OUTFILE。

6. 其他安全措施

隱藏錯(cuò)誤信息：

try {
    // 執(zhí)行數(shù)據(jù)庫(kù)操作
} catch (SQLException e) {
    // 生產(chǎn)環(huán)境返回通用錯(cuò)誤，避免泄露細(xì)節(jié)
    logger.error("Database error", e);
    throw new RuntimeException("Internal server error");
}

使用安全工具：

• OWASP ESAPI：提供安全的 SQL 轉(zhuǎn)義方法。

• SQL 注入掃描工具：集成 sqlmap 或 SonarQube 進(jìn)行代碼審計(jì)。

總結(jié)：Java 防御 SQL 注入的核心規(guī)則

場(chǎng)景

安全做法

高風(fēng)險(xiǎn)做法（避免?。?/p>

執(zhí)行 SQL 查詢

使用 PreparedStatement 參數(shù)化

拼接字符串生成 SQL

動(dòng)態(tài)表名/列名

白名單校驗(yàn)合法值

直接拼接用戶輸入

輸入驗(yàn)證

正則表達(dá)式白名單過濾

僅在前端驗(yàn)證或不做驗(yàn)證

錯(cuò)誤信息處理

記錄日志，返回通用錯(cuò)誤提示

返回詳細(xì)數(shù)據(jù)庫(kù)錯(cuò)誤信息

ORM 框架

優(yōu)先使用 Hibernate/JPA 的 Criteria 或 HQL

手動(dòng)拼接 HQL 或 JPQL

關(guān)鍵點(diǎn)：

• 絕不信任用戶輸入：所有外部輸入（包括 HTTP 請(qǐng)求參數(shù)、Cookie、Headers）均需驗(yàn)證和轉(zhuǎn)義。

• 代碼審查：定期檢查項(xiàng)目中是否存在 Statement 或字符串拼接 SQL 的代碼。

• 依賴更新：確保數(shù)據(jù)庫(kù)驅(qū)動(dòng)和 ORM 框架保持最新版本，修復(fù)已知漏洞。

以上就是Java預(yù)防SQL注入的具體實(shí)踐方法的詳細(xì)內(nèi)容，更多關(guān)于Java預(yù)防SQL注入的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！

最新評(píng)論