JAVA新手容易忽略的SQL注入漏洞

最新推荐文章于 2025-07-31 15:24:23 发布

原创最新推荐文章于 2025-07-31 15:24:23 发布 · 679 阅读

15 ·

CC 4.0 BY-SA版权

文章标签：

#sql #web安全

web安全专栏收录该内容

5 篇文章

订阅专栏

1 登录认证的SQL注入

再以前没有orm框架时，很多都是拼接的sql语句，有了hibernate、jpa、mybatis 等orm框架后, 开发变得更加容易，但是自定义的sql 场景仍然存在，这里我们以登录接口为例。

1.1 自定义sql漏洞代码示例

这是一个登陆接口，使用自定义的sql, 原理是使用Statement对象执行查询操作。

// 用户登录验证（存在SQL注入）
public boolean login(String username, String password) throws Exception {
    Connection conn = DriverManager.getConnection(DB_URL, DB_USER, DB_PASS);
    String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
    Statement stmt = conn.createStatement();
    ResultSet rs = stmt.executeQuery(sql);
    return rs.next(); // 若查询到记录则登录成功
}

1.2 正常输入逻辑

-- 用户输入：username="admin", password="123456"
SELECT * FROM users WHERE username = 'admin' AND password = '123456';

按照预期逻辑，仅当用户名密码匹配时返回数据，一切都很完美。

1.3 非正常输入会怎么样呢？

入参： username = "admin’ – "
SQL：SELECT … WHERE username = ‘admin’ – ’ AND password = ‘…’
结果：密码被绕过了
入参：username = “’ OR ‘1’='1”
SQL：SELECT … WHERE username = ‘’ OR ‘1’=‘1’ AND password = ‘…’
结果：布尔逻辑注入, 返回永远为true
入参：username = "’ UNION SELECT null, username, password FROM users – "
SQL：SELECT … WHERE username = ‘’ UNION SELECT … FROM users – ‘…’
结果：联合查询泄露敏感数据

1.4 防御方案

public boolean safeLogin(String username, String password) throws Exception {
    Connection conn = DriverManager.getConnection(DB_URL, DB_USER, DB_PASS);
    String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
    PreparedStatement pstmt = conn.prepareStatement(sql);
    pstmt.setString(1, username); // 参数1绑定username
    pstmt.setString(2, password); // 参数2绑定password
    ResultSet rs = pstmt.executeQuery();
    return rs.next();
}

使用PreparedStatement参数化查询，预编译使SQL结构与参数分离，数据库将输入视为纯数据而非代码，从而实现非正常输入导致的sql注入。

1.2 Mybatis框架中的sql注入

错误示例：使用$符号传参

<slect id = 'login' paramType = "java.util.Map"     resultType="java.util.Map">         
SELECT * FROM t_user  where user_name = ${userName}  and password = ${password} 
</select>

使用$传参，相当于直接使用参数拼接SQL语句，若是恶意输入，未作校验处理，则就有SQL注入的风险。

正确示例：使用#传入参数

<slect id = 'login' paramType = "java.util.Map"      resultType="java.util.Map">          
SELECT *  FROM t_user  where user_name = #{userName}  and password = #{password} </select>