Java Web防止SQL注入攻击的技巧与案例-精创网络云防护

帮助文档
Java Web防止SQL注入攻击的技巧与案例
来源：www.jcwlyf.com更新时间：2025-04-14

在当今的互联网应用中，Java Web 开发占据着重要的地位。然而，随着网络安全威胁的日益增加，SQL 注入攻击成为了 Java Web 应用面临的一个严重安全隐患。SQL 注入攻击是指攻击者通过在应用程序的输入字段中添加恶意的 SQL 代码，从而绕过应用程序的安全机制，非法获取、修改或删除数据库中的数据。本文将详细介绍 Java Web 防止 SQL 注入攻击的技巧，并结合实际案例进行分析。

SQL 注入攻击的原理

SQL 注入攻击的核心原理是利用应用程序对用户输入数据的处理不当。当应用程序在构建 SQL 语句时，直接将用户输入的数据拼接到 SQL 语句中，而没有进行适当的过滤和验证，攻击者就可以通过输入恶意的 SQL 代码来改变原 SQL 语句的语义。例如，一个简单的登录表单，应用程序可能会使用如下的 SQL 语句来验证用户的登录信息：

String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

如果攻击者在用户名输入框中输入 "' OR '1'='1"，在密码输入框中输入任意内容，那么拼接后的 SQL 语句就会变成：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '任意内容'

由于 '1'='1' 始终为真，所以这个 SQL 语句会返回 users 表中的所有记录，攻击者就可以绕过登录验证，非法访问系统。

防止 SQL 注入攻击的技巧

使用预编译语句（PreparedStatement）

预编译语句是 Java 提供的一种防止 SQL 注入攻击的有效方法。预编译语句在执行 SQL 语句之前会对 SQL 语句进行预编译，将 SQL 语句的结构和参数分开处理。这样，即使攻击者输入了恶意的 SQL 代码，也不会改变 SQL 语句的结构。以下是一个使用预编译语句的示例：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

在这个示例中，? 是占位符，用于表示参数的位置。在执行 SQL 语句之前，会将参数的值传递给占位符，而不是直接拼接到 SQL 语句中。这样，即使攻击者输入了恶意的 SQL 代码，也会被当作普通的字符串处理，从而避免了 SQL 注入攻击。

输入验证和过滤

除了使用预编译语句，还可以对用户输入的数据进行验证和过滤。在接收用户输入的数据时，应该对数据的类型、长度、格式等进行验证，确保输入的数据符合应用程序的要求。例如，对于一个只允许输入数字的字段，可以使用正则表达式进行验证：

if (input.matches("\\d+")) {
    // 输入是数字，继续处理
} else {
    // 输入不是数字，给出错误提示
}

此外，还可以对输入的数据进行过滤，去除其中的特殊字符和恶意代码。例如，可以使用 Java 的 String 类的 replaceAll 方法去除输入数据中的单引号：

String filteredInput = input.replaceAll("'", "");

使用存储过程

存储过程是一种预先编译好的 SQL 代码块，存储在数据库中。使用存储过程可以将 SQL 逻辑封装在数据库中，减少应用程序与数据库之间的交互。由于存储过程的参数是经过严格处理的，所以可以有效地防止 SQL 注入攻击。以下是一个简单的存储过程示例：

CREATE PROCEDURE GetUser(IN p_username VARCHAR(50), IN p_password VARCHAR(50))
BEGIN
    SELECT * FROM users WHERE username = p_username AND password = p_password;
END;

在 Java 中调用存储过程的示例如下：

CallableStatement cstmt = conn.prepareCall("{call GetUser(?, ?)}");
cstmt.setString(1, username);
cstmt.setString(2, password);
ResultSet rs = cstmt.executeQuery();

实际案例分析

假设我们有一个简单的 Java Web 应用程序，用于管理用户信息。该应用程序提供了一个用户登录页面和一个用户信息查询页面。以下是该应用程序的部分代码：

// 登录验证方法
public boolean validateLogin(String username, String password) {
    Connection conn = null;
    Statement stmt = null;
    ResultSet rs = null;
    try {
        conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password");
        String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
        stmt = conn.createStatement();
        rs = stmt.executeQuery(sql);
        return rs.next();
    } catch (SQLException e) {
        e.printStackTrace();
        return false;
    } finally {
        try {
            if (rs != null) rs.close();
            if (stmt != null) stmt.close();
            if (conn != null) conn.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

// 用户信息查询方法
public List<User> getUserInfo(String keyword) {
    Connection conn = null;
    Statement stmt = null;
    ResultSet rs = null;
    List<User> userList = new ArrayList<>();
    try {
        conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password");
        String sql = "SELECT * FROM users WHERE username LIKE '%" + keyword + "%'";
        stmt = conn.createStatement();
        rs = stmt.executeQuery(sql);
        while (rs.next()) {
            User user = new User();
            user.setId(rs.getInt("id"));
            user.setUsername(rs.getString("username"));
            user.setPassword(rs.getString("password"));
            userList.add(user);
        }
        return userList;
    } catch (SQLException e) {
        e.printStackTrace();
        return userList;
    } finally {
        try {
            if (rs != null) rs.close();
            if (stmt != null) stmt.close();
            if (conn != null) conn.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

在这个示例中，登录验证方法和用户信息查询方法都存在 SQL 注入攻击的风险。攻击者可以通过在用户名和密码输入框中输入恶意的 SQL 代码，或者在查询关键字输入框中输入恶意的 SQL 代码，来绕过登录验证或获取更多的用户信息。

为了防止 SQL 注入攻击，我们可以对代码进行修改，使用预编译语句：

// 登录验证方法（修改后）
public boolean validateLogin(String username, String password) {
    Connection conn = null;
    PreparedStatement pstmt = null;
    ResultSet rs = null;
    try {
        conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password");
        String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
        pstmt = conn.prepareStatement(sql);
        pstmt.setString(1, username);
        pstmt.setString(2, password);
        rs = pstmt.executeQuery();
        return rs.next();
    } catch (SQLException e) {
        e.printStackTrace();
        return false;
    } finally {
        try {
            if (rs != null) rs.close();
            if (pstmt != null) pstmt.close();
            if (conn != null) conn.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

// 用户信息查询方法（修改后）
public List<User> getUserInfo(String keyword) {
    Connection conn = null;
    PreparedStatement pstmt = null;
    ResultSet rs = null;
    List<User> userList = new ArrayList<>();
    try {
        conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password");
        String sql = "SELECT * FROM users WHERE username LIKE ?";
        pstmt = conn.prepareStatement(sql);
        pstmt.setString(1, "%" + keyword + "%");
        rs = pstmt.executeQuery();
        while (rs.next()) {
            User user = new User();
            user.setId(rs.getInt("id"));
            user.setUsername(rs.getString("username"));
            user.setPassword(rs.getString("password"));
            userList.add(user);
        }
        return userList;
    } catch (SQLException e) {
        e.printStackTrace();
        return userList;
    } finally {
        try {
            if (rs != null) rs.close();
            if (pstmt != null) pstmt.close();
            if (conn != null) conn.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

通过使用预编译语句，我们将 SQL 语句的结构和参数分开处理，避免了 SQL 注入攻击的风险。

总结

SQL 注入攻击是 Java Web 应用面临的一个严重安全隐患，可能会导致数据库中的数据被非法获取、修改或删除。为了防止 SQL 注入攻击，我们可以采取多种措施，如使用预编译语句、输入验证和过滤、使用存储过程等。在实际开发中，应该养成良好的安全编程习惯，对用户输入的数据进行严格的验证和处理，确保应用程序的安全性。同时，还应该定期对应用程序进行安全审计和漏洞扫描，及时发现和修复潜在的安全漏洞。