PreparedStatement与Statement对比、sql语句的被注入问题

PreparedStatement vs Statment

一、语法不同：PreparedStatement可以使用预编译的sql，而Statement只能使用静态的sql。

二、效率不同： PreparedStatement可以使用sql缓存区，效率比Statement高。



三、安全性不同： PreparedStatement可以有效防止sql注入，而Statement不能防止sql注入。

通过案例对比来给大家讲解这一点：

1、Statement模拟用户登陆：

package sram.login;

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.Statement;

import org.junit.Test;

import sram.util.jdbc.JdbcUtil;
/**
* 模拟用户登录效果
*/
public class Demo1 {
//模拟用户输入
private String name = "zhangsan";
private String password = "123";
@Test
public void testByStatement(){
Connection conn = null;
Statement stmt = null;
ResultSet rs = null;
try {
//获取连接
conn = JdbcUtil.getConnection();
//创建Statment
stmt = conn.createStatement();
//准备sql
//注意带参的sql语句的书写
String sql = "SELECT * FROM admin WHERE userName='"+name+"' AND pwd='"+password+"'";
System.out.println(sql);
//执行sql
rs = stmt.executeQuery(sql);
if(rs.next()){
//登录成功
System.out.println("登录成功");
}else{
System.out.println("登录失败");
}
} catch (Exception e) {
e.printStackTrace();
throw new RuntimeException(e);
} finally {
JdbcUtil.close(conn, stmt,rs);
}
}
}

乍一看没什么问题啊，可以识别用户，判断是否登陆成功，但是接下来给大家介绍这样的一个情况：

1）首先引入这样一个概念：sql语句被注入



2）接下来我们稍稍修改下刚才的代码：



3）而PreparedStatement接口则不存在这种问题。

2、PreparedStatement模拟用户登陆：

package sram.login;

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.Statement;

import org.junit.Test;

import sram.util.jdbc.JdbcUtil;
/**
* 模拟用户登录效果
*/
public class Demo1{
//模拟用户输入:SELECT * FROM admin WHERE userName='zhangsan' OR 1=1 -- 'AND pwd='123';
private String name = "用户随意输入' OR 1=1 -- ";
private String password = "密码任意";

/**
* Statment存在sql被注入的风险
*/
//public void testByStatement(){}

/**
* PreparedStatement可以有效地防止sql被注入
*/
@Test
public void testByPreparedStatement(){
Connection conn = null;
PreparedStatement stmt = null;
ResultSet rs = null;
try {
//获取连接
conn = JdbcUtil.getConnection();
String sql = "SELECT * FROM admin WHERE userName=? AND pwd=?";
//预编译
stmt = conn.prepareStatement(sql);
//设置参数
stmt.setString(1, name);
stmt.setString(2, password);
//执行sql
rs = stmt.executeQuery();
if(rs.next()){
//登录成功
System.out.println("登录成功");
}else{
System.out.println("登录失败");
}
System.out.println(sql);
System.out.println(stmt);
System.out.println(rs);

} catch (Exception e) {
e.printStackTrace();
throw new RuntimeException(e);
} finally {
JdbcUtil.close(conn, stmt ,rs);
}
}
}

运行结果：



推荐使用PreparedStatement