web安全

一、防止SQL注入

SQL注入主要是通过一些特殊字符如'',#,--等，常发生在动态构造SQL的过程中。

所以防止SQL注入也应该从这两方面进行

1，过滤特殊字符

2，尽量避免动态构造SQL，尽可能的使用PreparedStatement而不是 statement。PreparedStatement已经固定好了SQL的格式，进行了预编译处理，传入值只是作为数据处理，而statement不同，没有进行预编译处理，也就是说可以利用特殊字符进行SQL的改造，从而达到SQL注入的目的。