SQL注入

如何在JSP中写代码防止SQL注入

---

过滤输入数据  发现可疑字符活着字符串  替换成"" 或者抛出异常

---

直接修改sql语句不行么

---

使用占位符

---

对sql语句用此对象 PreparedStatement 操作，然后传参 。
PreparedStatement  pt = conn.prepareStatement("select * table from where id = ?");
pt.setInt(1,a_id);

---

防注入的最有效，最简单的方法是
使用预编译的PreparedStatement
而不是使用拼凑SQL的 Statement

比如判断用户名和密码的例子，应该用

Java code:
/**
* 一段防止SQL注入的使用预编译的PreparedStatement的代码例子
*
* @param username 用户名
* @param password 密码
* @return 成功返回true,否则返回false
*/
public static boolean checkLogin(String username, String password) {
Connection con = null;// 数据库连接部分我就不写了
PreparedStatement stat = null;
ResultSet rs = null;
try {
// 预编译语句
stat = con.prepareStatement("select count(*) from t_user where username=? and password=?");
// 设置2个参数
stat.setString(1, username);
stat.setString(2, password);
// 执行
rs = stat.executeQuery();
if (rs.next()) {
return rs.getInt(1) > 0;
}
return false;
} catch (Exception ex) {
ex.printSta