有SQL注入嗎？

Question

我有這種帶有語句查詢的代碼，你能幫我看看有 SQL 注入還是安全代碼？

<%


  String aUser = request.getParameter("user");
  Conn aPlug = null;
  Statement aStatement = null;
  ResultSet aResultSet = null;

    aPlug = Conn.getPlug("fetchAssetId");
    aStatement = Conn.getConnection().createStatement();
    aResultSet = aStatement.executeQuery("select pass, file_name from users where user_id = owner and user_name = '" + aUser + "'");


    %>

謝謝你

Answer 1

是的，此代碼易受攻擊。

當您允許用戶提供的值直接進入您的查詢時，就會發生注入。 這是用戶提供的值：

String aUser = request.getParameter("user");

它來自 GET 參數，即?user='; DROP TABLE.. ?user='; DROP TABLE..

這是它在您的查詢中使用的位：

user_name = '" + aUser + "'

您應該改用PreparedStatement ，如bobby-tables 上所述。