Question

Java中如何解决sql 注入漏洞

Answer 1

1、对传递过来的参数值段做过滤处理 包含sql操作关键字的干掉！当然这个要符合你的业务需求
2、不要对sql语句做拼接处理 可以用类似 jdbc中的preparestatement动态sql技术 生成sql

3、对传递进来的参数值做字符串转义 'sql do some' 让数据库把这段当成一段字符串处理 而不进行操作编译

Answer 2

楼上说-->【后台拼SQL】
我不这么觉得 一般来说 映射DAO 使用工厂new对象调用DAO这样还是比较安全的吧
（前提是有句俗话说：SQL语句不出DAO）

（个人观点）
如果感觉我回答的你还满意的话就把我采纳了吧
————————————————————————————————

Answer 3

老话重谈，不要后台SQL拼接。用preparestatement

Answer 4

常见就是使用参数的方法去执行语句