java - Web サイトへの SQL インジェクションを防ぐにはどうすればよいですか? 支柱

Question

私のウェブサイトがSQLインジェクションを行うのを防ぐ方法

私は Struts 2 、 DB MY sql を使用して作業しています。

Answer 1

私が考える最善の方法は、一からやり直すのではなく、すでに利用可能なツールを使用することです。小規模なプロジェクトの場合、データベースにクエリを実行するときは、単純に準備済みステートメントを使用することをお勧めします。

http://docs.oracle.com/javase/7/docs/api/java/sql/PreparedStatement.html

また、Hybernate のような ORM の使用を検討することもできます。ただし、意図したとおりに使用してください。HQL でさえ、インジェクションの影響を受けやすい可能性があります。参照: hibernate を使用している場合、SQL インジェクションからどれだけ安全か

重要なことは、クエリ文字列を信頼できないソースからの値と連結して、独自のネイティブ クエリを作成しないことです。