string sql=」select * from judy88 where 」 + 「pname=』」 + username + 「』 and password=』」 + password + 「』」;
如果是加號必須用」「號 進行括起來。
解決注入問題。分為3個方法
1過濾使用者輸入的資料中是否包含非法字元
2分步校驗，先使用使用者名稱查詢如果有次使用者名稱然後再使用密碼檢驗
3使用preparedstatement
preparedstatement是什麼？
他叫做預編譯宣告
他是statement的子介面。可以使用preparedstatement來替換statement
preparedstatement的好處是什麼？
1防止sql攻擊
2提高**的可讀性，可維護性
3提高效率
preparestatement的使用
1使用connection的preparestatement（string sql）建立他就是讓一條sql模板繫結
2呼叫preparestatement的set***（）系列方法為問號設定值
3呼叫executeupdate（）或者executequery（）方法，
解決了減少拼接問題的。
如果使用預編譯。進行執行sql語句的過程
1註冊
2連線
3語句，引數使用的是？
4使用預編譯，引數裡面是sql語句
5使用與編輯傳過去引數，引數型別如果是int則使用的是setint，如果是string則使用的是setstring
6進行查詢操作，把查詢的結果付給resultset
7執行next();
sql注入原理
所謂sql注入，就是通過把sql命令插入到web表單提交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的sql命令。簡單例項 一張使用者表user，一般需要通過user id運算元據庫，例如 我們想要查詢 user id 1 的使用者資訊 通常我們可以寫sql語句 select fr...
SQL注入原理
概述 sql注入 應用程式在向後台資料庫傳遞sql structured query language 結構化查詢語言 查詢時，如果攻擊者提供了影響該查詢的能力，就會引發sql注入。sql注入不只是一種會影響web應用的漏洞，對於任何從不可信源獲取輸入的 來說，如果使用輸入來構造動態sql語句，就有...
SQL 注入原理
sql 注入的原因是應用程式對使用者輸入的資料沒有進行合法判斷，並且直接將資料傳給資料庫進行查詢。流程如下 如果應用程式會直接返回查詢的結果，那麼我們將可以使用基於查詢的注入方法。聯合查詢法 應用程式不返回查詢結果，反而返回 sql 資料庫的報錯資訊。其流程如下 應用程式不會返回查詢結果，而是會返回...