在Java开发中，Web应用程序经常需要处理用户的请求参数。然而，这些参数可能被恶意用户利用来进行SQL注入攻击，这会严重威胁到系统的安全性。SQL注入攻击是指攻击者通过在输入参数中添加恶意的SQL代码，从而绕过应用程序的安全机制，非法访问、修改或删除数据库中的数据。为了有效防止SQL注入攻击，我们需要对请求参数进行过滤。本文将详细介绍在Java中对请求参数进行过滤以防止SQL注入的方法。

SQL注入攻击的原理和危害

SQL注入攻击的原理是利用应用程序对用户输入的处理不当。当应用程序直接将用户输入的参数拼接到SQL语句中时，攻击者可以通过构造特殊的输入，改变SQL语句的原意，从而达到非法操作数据库的目的。例如，一个简单的登录表单，应用程序可能会使用如下的SQL语句来验证用户信息：

String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

如果攻击者在用户名输入框中输入 ' OR '1'='1，密码输入框随意输入，那么拼接后的SQL语句就会变成：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '随便输入'

由于 '1'='1' 始终为真，所以这个SQL语句会返回所有的用户记录，攻击者就可以绕过登录验证。SQL注入攻击的危害非常大，它可能导致数据库中的敏感信息泄露，如用户的账号密码、个人隐私等；还可能导致数据被篡改或删除，影响系统的正常运行。

使用预编译语句（PreparedStatement）

预编译语句是防止SQL注入攻击的最常用和最有效的方法之一。在Java中，使用 PreparedStatement 可以将SQL语句和参数分开处理，数据库会对SQL语句进行预编译，参数会以安全的方式传递给数据库，从而避免了SQL注入的风险。以下是一个使用 PreparedStatement 的示例：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class PreparedStatementExample {
    public static void main(String[] args) {
        String username = "test";
        String password = "123456";
        String url = "jdbc:mysql://localhost:3306/testdb";
        String dbUser = "root";
        String dbPassword = "root";

        try (Connection connection = DriverManager.getConnection(url, dbUser, dbPassword)) {
            String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
            PreparedStatement preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setString(1, username);
            preparedStatement.setString(2, password);

            ResultSet resultSet = preparedStatement.executeQuery();
            if (resultSet.next()) {
                System.out.println("登录成功");
            } else {
                System.out.println("登录失败");
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

在这个示例中，我们使用 ? 作为占位符，然后使用 setString 方法为占位符设置参数。这样，即使攻击者输入恶意的SQL代码，也不会影响SQL语句的原意，因为参数会被作为普通的字符串处理。

输入验证和过滤

除了使用预编译语句，对用户输入进行验证和过滤也是非常重要的。我们可以通过正则表达式或自定义的过滤规则来检查用户输入是否合法。例如，对于用户名，我们可以要求只包含字母、数字和下划线：

import java.util.regex.Pattern;

public class InputValidator {
    private static final Pattern USERNAME_PATTERN = Pattern.compile("^[a-zA-Z0-9_]+$");

    public static boolean isValidUsername(String username) {
        return USERNAME_PATTERN.matcher(username).matches();
    }
}

在接收用户输入时，我们可以调用这个验证方法：

String username = request.getParameter("username");
if (InputValidator.isValidUsername(username)) {
    // 处理合法的用户名
} else {
    // 提示用户输入不合法
}

对于一些特殊字符，如单引号、双引号、分号等，我们可以进行过滤或转义。例如，将单引号替换为两个单引号：

public class InputFilter {
    public static String filter(String input) {
        if (input == null) {
            return null;
        }
        return input.replace("'", "''");
    }
}

使用时：

String username = request.getParameter("username");
String filteredUsername = InputFilter.filter(username);

使用安全框架

在Java开发中，有许多安全框架可以帮助我们防止SQL注入攻击。例如，Spring Security是一个强大的安全框架，它提供了一系列的安全机制，包括输入验证、防止SQL注入等。在Spring Boot项目中，我们可以通过配置Spring Security来增强应用程序的安全性。以下是一个简单的Spring Boot项目中使用Spring Security的示例：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
           .authorizeRequests()
               .anyRequest().authenticated()
               .and()
           .formLogin()
               .and()
           .httpBasic();
        return http.build();
    }
}

Spring Security会对用户的请求进行过滤和验证，确保只有合法的请求才能访问应用程序。同时，它还提供了防止跨站脚本攻击（XSS）、跨站请求伪造（CSRF）等功能，进一步增强了应用程序的安全性。

日志和监控

为了及时发现和处理SQL注入攻击，我们还需要对应用程序的日志进行监控。在应用程序中，我们可以记录用户的请求参数和执行的SQL语句，以便在发生异常时进行排查。例如，使用SLF4J和Logback进行日志记录：

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class LogExample {
    private static final Logger logger = LoggerFactory.getLogger(LogExample.class);

    public static void main(String[] args) {
        String username = "test";
        String password = "123456";
        logger.info("用户请求登录，用户名：{}，密码：{}", username, password);
        // 执行登录逻辑
    }
}

同时，我们可以使用监控工具，如ELK Stack（Elasticsearch、Logstash、Kibana）来对日志进行分析和监控。通过设置规则和告警机制，当发现异常的请求参数或SQL语句时，及时通知管理员进行处理。

综上所述，防止SQL注入攻击是Java开发中非常重要的一项工作。我们可以通过使用预编译语句、输入验证和过滤、安全框架以及日志和监控等多种方法来对请求参数进行过滤，从而有效提高应用程序的安全性。在实际开发中，我们应该综合使用这些方法，建立多层次的安全防护体系，确保系统的稳定和安全运行。