如何防止我的网站进行sql Injection？ 支柱

Question

如何防止我的网站在其中进行sql注入

我正在使用Struts 2，DB MY sql。

Answer 1

我认为最好的方法是不要重新发明轮子，而是使用已有的工具。 对于小型项目，我建议在查询数据库时仅使用准备好的语句。

http://docs.oracle.com/javase/7/docs/api/java/sql/PreparedStatement.html

您还可以考虑使用像Hybernate这样的ORM。 但是请确保按预期使用它。 甚至HQL也可能容易注射。 请参阅： 如果使用休眠模式，那么从SQL-Injection安全多少

重要的是不要通过将查询字符串与来自不受信任来源的值串联来编写自己的本机查询。