SQL注入

初次接触sql注入

执行sql语句时，字符串拼接与使用预处理的区别

初学者在学sql语句时常常用到这个字符串的拼接。但是我们在项目中使用这个字符串的拼接会导致不安全。别人可以通过sql语句注入的方式恶意破坏你的系统。这个时候就是使用预处理。

* 预处理的好处*

查询只需要被解析（或准备）一次，但可以使用相同或不同的参数执行多次。当查询准备好（Prepared）之后，数据库就会分析，编译并优化它要执行查询的计划。对于复杂查询来说，如果你要重复执行许多次有不同参数的但结构相同的查询，这个过程会占用大量的时间，使得你的应用变慢。通过使用一个预处理语句你就可以避免重复分析、编译、优化的环节。简单来说，预处理语句使用更少的资源，执行速度也就更快。

传给预处理语句的参数不需要使用引号，底层驱动会为你处理这个。如果你的应用独占地使用预处理语句，你就可以确信没有SQL注入会发生。（然而，如果你仍然在用基于不受信任的输入来构建查询的其他部分，这仍然是具有风险的）。
1. 查询只需要被解析（货准备）一次，但可以使用相同或不同的参数执行多次。
2. 传给预处理语句的参数不需要使用引号，底层驱动会为你处理这个。
3. 使用预处理语句，可以确信没有SQL注入会发生。

使用preparedStatement预处理

PreparedStatement pst = null;
        ResultSet rs = null;
        String sql1 = "select * from table1 where userId=?";
        int totals = -1;
        try {
            pst = conn.prepareStatement(sql1);
            pst.setString(1, userId);
            rs = pst.executeQuery();
            if(rs.next()) {
                totals = rs.getInt(1);
            }
        } catch (Exception e) {
            e.printStackTrace();    
            return -1;
        }

使用sql语句拼接

PreparedStatement pst = null;
        ResultSet rs = null;
        String sql1 = "select * from table1 where userId='"+userId+"'";
        int totals = -1;
        try {
            pst = conn.prepareStatement(sql1);
            rs = pst.executeQuery();
            if(rs.next()) {
                totals = rs.getInt(1);
            }
        } catch (Exception e) {
            e.printStackTrace();    
            return -1;
        }