Hibernate使用中防止SQL注入的幾種方案
Hibernate使用中防止SQL注入的幾種方案
Hibernate是一個(gè)開(kāi)放源代碼的對(duì)象關(guān)系映射框架,它對(duì)JDBC進(jìn)行了非常輕量級(jí)的對(duì)象封裝,使得Java程序員可以隨心所欲的使用對(duì)象編程思維來(lái)操縱數(shù)據(jù)庫(kù)。
在獲取便利操作的同時(shí),SQL的注入問(wèn)題也值得我們的密切注意,下面就來(lái)談?wù)剮c(diǎn)如何避免SQL注入:
1.對(duì)參數(shù)名稱(chēng)進(jìn)行綁定:
Query query=session.createQuery(hql); query.setString(“name”,name);
2.對(duì)參數(shù)位置進(jìn)行邦定:
Query query=session.createQuery(hql); query.setString(0,name1); query.setString(1,name2); ...
3.setParameter()方法:
Query query=session.createQuery(hql); query.setParameter(“name”,name,Hibernate.STRING);
4.setProperties()方法:
Entity entity=new Entity(); entity.setXx(“xx”); entity.setYy(100); Query query=session.createQuery(“from Entity c where c.xx=:xx and c.yy=:yy ”); query.setProperties(entity);
5.HQL拼接方法,這種方式是最常用,而且容易忽視且容易被注入的,通常做法就是對(duì)參數(shù)的特殊字符進(jìn)行過(guò)濾,推薦大家使用 Spring工具包的StringEscapeUtils.escapeSql()方法對(duì)參數(shù)進(jìn)行過(guò)濾:
public static void main(String[] args) {
String str = StringEscapeUtils.escapeSql("'");
System.out.println(str);
}
輸出結(jié)果:''
感謝閱讀,希望能幫助到大家,謝謝大家對(duì)本站的支持!
- Java面試題解析之判斷以及防止SQL注入
- SQL注入原理與解決方法代碼示例
- 通過(guò)ibatis解決sql注入問(wèn)題
- Win2003服務(wù)器防SQL注入神器--D盾_IIS防火墻
- Sql注入工具_(dá)動(dòng)力節(jié)點(diǎn)Java學(xué)院整理
- Sql注入原理簡(jiǎn)介_(kāi)動(dòng)力節(jié)點(diǎn)Java學(xué)院整理
- 尋找sql注入的網(wǎng)站的方法(必看)
- 分享一個(gè)簡(jiǎn)單的sql注入
- Mybatis防止sql注入的實(shí)例
- 有效防止SQL注入的5種方法總結(jié)
- 關(guān)于SQL注入中文件讀寫(xiě)的方法總結(jié)
- 深入了解SQL注入
相關(guān)文章
檢測(cè)輸入的字符是否為0-9的數(shù)字(測(cè)試)
輸入的字符判斷是否為0-9,采用for循環(huán)實(shí)現(xiàn),感興趣的朋友可以參考下哈,希望可以幫助到你2013-04-04
JSP實(shí)現(xiàn)從數(shù)據(jù)庫(kù)導(dǎo)出數(shù)據(jù)到Excel下載的方法
這篇文章主要介紹了JSP實(shí)現(xiàn)從數(shù)據(jù)庫(kù)導(dǎo)出數(shù)據(jù)到Excel下載的方法,涉及JSP操作excel文件導(dǎo)出的相關(guān)技巧,非常簡(jiǎn)單實(shí)用,需要的朋友可以參考下2015-10-10
JDBC連接Oracle數(shù)據(jù)庫(kù)常見(jiàn)問(wèn)題及解決方法
JDBC連接Oracle數(shù)據(jù)庫(kù)常見(jiàn)問(wèn)題及解決方法...2006-12-12
JAVA/JSP學(xué)習(xí)系列之六(MySQL翻頁(yè)例子)
JAVA/JSP學(xué)習(xí)系列之六(MySQL翻頁(yè)例子)...2006-10-10
點(diǎn)擊地圖div上的按鈕實(shí)現(xiàn)對(duì)地圖數(shù)據(jù)的入庫(kù)操作
在地圖div上添加一個(gè)按鈕并單擊在彈出層的輸入框內(nèi)輸入數(shù)據(jù)后點(diǎn)擊提交按鈕將數(shù)據(jù)提交至數(shù)據(jù)庫(kù),具體的實(shí)現(xiàn)如下,感興趣的朋友可以參考下2013-08-08
jsp頁(yè)面中兩種方法顯示當(dāng)前時(shí)間的簡(jiǎn)單實(shí)例
下面小編就為大家?guī)?lái)一篇jsp頁(yè)面中兩種方法顯示當(dāng)前時(shí)間的簡(jiǎn)單實(shí)例。小編覺(jué)得挺不錯(cuò)的,現(xiàn)在就分享給大家,也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2016-06-06

