SpringBoot项目中如何防止SQL注入-精创网络云防护

帮助文档
SpringBoot项目中如何防止SQL注入
来源：www.jcwlyf.com更新时间：2025-06-19

在Spring Boot项目开发过程中，安全问题始终是至关重要的，而SQL注入是一种常见且危害极大的安全漏洞。SQL注入攻击是指攻击者通过在应用程序的输入字段中添加恶意的SQL代码，从而绕过应用程序的安全机制，对数据库进行非法操作，如数据泄露、数据篡改甚至数据库删除等。本文将详细介绍在Spring Boot项目中防止SQL注入的各种方法。

1. 使用预编译语句（PreparedStatement）

预编译语句是防止SQL注入的最基本且有效的方法。在Spring Boot中，当使用JDBC进行数据库操作时，可以使用预编译语句。预编译语句会将SQL语句和用户输入的参数分开处理，数据库会对SQL语句进行预编译，然后再将参数值传递进去，这样可以避免恶意SQL代码的注入。

以下是一个使用预编译语句的示例：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class JdbcExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/mydb";
        String username = "root";
        String password = "password";
        String input = "1 OR 1=1"; // 恶意输入
        try (Connection connection = DriverManager.getConnection(url, username, password)) {
            String sql = "SELECT * FROM users WHERE id = ?";
            PreparedStatement preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setString(1, input);
            ResultSet resultSet = preparedStatement.executeQuery();
            while (resultSet.next()) {
                // 处理结果
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

在上述示例中，使用"?"作为占位符，然后通过"setString"方法将参数值传递给预编译语句，这样即使输入的是恶意SQL代码，也不会被执行。

2. 使用Spring Data JPA

Spring Data JPA是Spring Boot中常用的数据库访问框架，它提供了一种更高级的方式来进行数据库操作，并且可以有效地防止SQL注入。Spring Data JPA使用方法命名查询和"@Query"注解来定义查询，这些查询会自动处理参数，避免SQL注入。

以下是一个使用Spring Data JPA的示例：

import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.data.jpa.repository.Query;
import org.springframework.stereotype.Repository;

import java.util.List;

@Repository
public interface UserRepository extends JpaRepository<User, Long> {
    // 方法命名查询
    List<User> findByUsername(String username);

    // 使用@Query注解
    @Query("SELECT u FROM User u WHERE u.email = :email")
    List<User> findByEmail(String email);
}

在上述示例中，"findByUsername"方法和"findByEmail"方法都会自动处理参数，避免SQL注入。

3. 输入验证和过滤

除了使用预编译语句和Spring Data JPA，还可以对用户输入进行验证和过滤。在Spring Boot项目中，可以使用Spring Validation来对用户输入进行验证。

以下是一个使用Spring Validation的示例：

import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.validation.BindingResult;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;

import javax.validation.Valid;

@Controller
public class UserController {
    @GetMapping("/register")
    public String showRegistrationForm(Model model) {
        model.addAttribute("user", new User());
        return "register";
    }

    @PostMapping("/register")
    public String processRegistrationForm(@Valid User user, BindingResult bindingResult) {
        if (bindingResult.hasErrors()) {
            return "register";
        }
        // 处理注册逻辑
        return "success";
    }
}

在上述示例中，使用"@Valid"注解对"User"对象进行验证，如果验证失败，会将错误信息存储在"BindingResult"中，然后返回注册页面。

除了使用Spring Validation，还可以使用正则表达式对用户输入进行过滤，只允许合法的字符输入。

import java.util.regex.Pattern;

public class InputFilter {
    private static final Pattern VALID_USERNAME = Pattern.compile("^[a-zA-Z0-9]+$");

    public static boolean isValidUsername(String username) {
        return VALID_USERNAME.matcher(username).matches();
    }
}

在上述示例中，使用正则表达式"^[a-zA-Z0-9]+$"来验证用户名，只允许字母和数字。

4. 存储过程

存储过程是一种预编译的数据库程序，它可以在数据库服务器上执行。使用存储过程可以将SQL逻辑封装在数据库中，减少应用程序和数据库之间的交互，同时也可以防止SQL注入。

以下是一个使用存储过程的示例：

-- 创建存储过程
DELIMITER //
CREATE PROCEDURE GetUserByUsername(IN p_username VARCHAR(255))
BEGIN
    SELECT * FROM users WHERE username = p_username;
END //
DELIMITER ;

在Spring Boot项目中，可以使用"JdbcTemplate"来调用存储过程：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.jdbc.core.JdbcTemplate;
import org.springframework.stereotype.Repository;

import java.util.List;
import java.util.Map;

@Repository
public class UserRepository {
    @Autowired
    private JdbcTemplate jdbcTemplate;

    public List<Map<String, Object>> getUserByUsername(String username) {
        String sql = "{call GetUserByUsername(?)}";
        return jdbcTemplate.queryForList(sql, username);
    }
}

在上述示例中，通过"JdbcTemplate"调用存储过程，存储过程会自动处理参数，避免SQL注入。

5. 安全配置和权限管理

除了上述方法，还可以通过安全配置和权限管理来防止SQL注入。在Spring Boot项目中，可以使用Spring Security来进行安全配置和权限管理。

以下是一个使用Spring Security的示例：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
           .authorizeRequests()
               .antMatchers("/public/").permitAll()
               .anyRequest().authenticated()
               .and()
           .formLogin()
               .loginPage("/login")
               .permitAll()
               .and()
           .logout()
               .permitAll();
        return http.build();
    }
}

在上述示例中，通过Spring Security配置了访问权限，只有经过认证的用户才能访问受保护的资源，这样可以减少SQL注入的风险。

综上所述，在Spring Boot项目中防止SQL注入需要综合使用多种方法，包括使用预编译语句、Spring Data JPA、输入验证和过滤、存储过程以及安全配置和权限管理等。只有这样，才能有效地保护数据库的安全，避免SQL注入攻击带来的危害。