java防sql注入過濾器

❶ JAVA的伺服器過濾器（encodingFilter）有啥用說的通俗一點，用與不用啥區別百度上

通俗點說法filter相當於加油站，request是條路，response是條路，目的地是servlet，這個加油站設在什麼地方對內什麼數據操作可容以由開發者來控制。
備註：過濾器可以再請求和響應之前做一部分預處理，有效的過濾掉不需要的內容，而且過濾器可以被復用，節省了大量的復用代碼，提高了java的代碼執行效率

❷ Java中如何解決sql 注入漏洞

1、對傳遞過來的參數值段做過濾處理 包含sql操作關鍵字的幹掉！當然這個要符合你回的業務需求
2、不要答對sql語句做拼接處理 可以用類似 jdbc中的preparestatement動態sql技術 生成sql

3、對傳遞進來的參數值做字元串轉義 'sql do some' 讓資料庫把這段當成一段字元串處理 而不進行操作編譯

❸ java 編程中連接資料庫如何防止單引號注入

防止SQL注入的方法最簡單的就是例：用戶登錄需要用戶名和密碼先用戶輸入的用戶名從資料庫中把與其對應的密碼查出來在把這密碼和用戶輸入的密碼對比就OK了自己試試看吧通得過的

❹ 防sql注入到底應過濾哪些字元

一般來說，這樣處理即可：
所有參數都當作字元串處理，用單引號括起來。另外就是要把字元串中的單引號替換掉。

❺ java防止SQL注入的幾個途徑

• java防SQL注入,最簡單的辦法是杜絕SQL拼接,SQL注入攻擊能得逞是因為在原有SQL語句中加入了新的邏輯，如果使用PreparedStatement來代替Statement來執行SQL語句，其後只是輸入參數，SQL注入攻擊手段將無效，這是因為PreparedStatement不允許在不同的插入時間改變查詢的邏輯結構,大部分的SQL注入已經擋住了,在WEB層我們可以過濾用戶的輸入來防止SQL注入比如用Filter來過濾全局的表單參數

• 01importjava.io.IOException;

• 02importjava.util.Iterator;

• 03importjavax.servlet.Filter;

• 04importjavax.servlet.FilterChain;

• 05importjavax.servlet.FilterConfig;

• 06importjavax.servlet.ServletException;

• 07importjavax.servlet.ServletRequest;

• 08importjavax.servlet.ServletResponse;

• 09importjavax.servlet.http.HttpServletRequest;

• 10importjavax.servlet.http.HttpServletResponse;

• 11/**

• 12*通過Filter過濾器來防SQL注入攻擊

• 13*

• 14*/

• {

• 16privateStringinj_str="'|and|exec|insert|select|delete|update|count|*|%

• |chr|mid|master|truncate|char|declare|;|or|-|+|,";
  

• =null;

• 18/**

• 19*?

• 20*/

• 21protectedbooleanignore=true;

• 22publicvoidinit(FilterConfigconfig)throwsServletException{

• 23this.filterConfig=config;

• 24this.inj_str=filterConfig.getInitParameter("keywords");

• 25}

• 26publicvoiddoFilter(ServletRequestrequest,ServletResponseresponse,

• 27FilterChainchain)throwsIOException,ServletException{

• 28HttpServletRequestreq=(HttpServletRequest)request;

• 29HttpServletResponseres=(HttpServletResponse)response;

• 30Iteratorvalues=req.getParameterMap().values().iterator();//獲取所有的表單參數

• 31while(values.hasNext()){

• 32String[]value=(String[])values.next();

• 33for(inti=0;i<value.length;i++){

• 34if(sql_inj(value[i])){

• 35//TODO這里發現sql注入代碼的業務邏輯代碼

• 36return;

• 37}

• 38}

• 39}

• 40chain.doFilter(request,response);

• 41}

• 42publicbooleansql_inj(Stringstr)

• 43{

• 44String[]inj_stra=inj_str.split("\|");

• 45for(inti=0;i<inj_stra.length;i++)

• 46{

• 47if(str.indexOf(""+inj_stra[i]+"")>=0)

• 48{

• 49returntrue;

• 50}

• 51}

• 52returnfalse;

• 53}

• 54}

• 也可以單獨在需要防範SQL注入的JavaBean的欄位上過濾：

• 1/**

• 2*防止sql注入

• 3*

• 4*@paramsql

• 5*@return

• 6*/

• (Stringsql){

• 8returnsql.replaceAll(".*([';]+|(--)+).*","");

• 9}

❻ java中preparedstatement為什麼可以防止sql注入

其實是預編譯功能，用preparedstatement就會把sql的結構給資料庫預編譯。

SQL注入 攻 擊 是利用是指利用 設計 上的漏洞，在目 標 服 務 器上運行 Sql語 句以及 進 行其他方式的 攻 擊 ，
動態 生成 Sql語 句 時 沒有 對 用 戶輸 入的數據 進 行 驗證 是 Sql注入 攻 擊 得逞的主要原因。
對 於 JDBC而言， SQL注入 攻 擊 只 對 Statement有效， 對 PreparedStatement 是無效的， 這 是因 為 PreparedStatement 不允 許 在不同的插入 時間 改 變查詢 的 邏輯結 構。
如 驗證 用 戶 是否存在的 SQL語 句 為 ：
select count(*) from usertable where name='用 戶 名 ' and pswd='密 碼 '
如果在 用 戶 名欄位 中 輸 入 ' or '1'='1' or '1'='1
或是在 密 碼 欄位 中 輸 入 1' or '1'='1
將 繞過驗證 ，但 這種 手段只 對 只 對 Statement有效， 對 PreparedStatement 無效。
PreparedStatement 相 對 Statement有以下 優 點：
1.防注入攻擊
2.多次運行速度快
3.防止資料庫緩沖區溢出
4.代 碼 的可讀性可維護性好

加油！