在 Java 中预防 SQL 注入,从零基础到精通，收藏这篇就够了！

网安导师小李

1083人浏览 · 2025-07-10 18:17:47

网安导师小李 · 2025-07-10 18:17:47 发布

.markdown-body pre,.markdown-body pre>code.hljs{color:#333;background:#f8f8f8}.hljs-comment,.hljs-quote{color:#998;font-style:italic}.hljs-keyword,.hljs-selector-tag,.hljs-subst{color:#333;font-weight:700}.hljs-literal,.hljs-number,.hljs-tag .hljs-attr,.hljs-template-variable,.hljs-variable{color:teal}.hljs-doctag,.hljs-string{color:#d14}.hljs-section,.hljs-selector-id,.hljs-title{color:#900;font-weight:700}.hljs-subst{font-weight:400}.hljs-class .hljs-title,.hljs-type{color:#458;font-weight:700}.hljs-attribute,.hljs-name,.hljs-tag{color:navy;font-weight:400}.hljs-link,.hljs-regexp{color:#009926}.hljs-bullet,.hljs-symbol{color:#990073}.hljs-built_in,.hljs-builtin-name{color:#0086b3}.hljs-meta{color:#999;font-weight:700}.hljs-deletion{background:#fdd}.hljs-addition{background:#dfd}.hljs-emphasis{font-style:italic}.hljs-strong{font-weight:700}

在 Java 中预防 SQL 注入的核心是 避免直接拼接 SQL 语句，并通过参数化查询、ORM 框架和严格的输入验证来实现安全防护。以下是具体实践方法：

1. 强制使用 PreparedStatement（参数化查询）

原理：将 SQL 语句结构与用户输入数据分离，确保输入内容始终作为“数据”处理，而非可执行的代码。

正确示例：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
try (Connection conn = dataSource.getConnection();
     PreparedStatement pstmt = conn.prepareStatement(sql)) {
    
    pstmt.setString(1, username); // 自动转义特殊字符（如 ' -> \'）
    pstmt.setString(2, password);
    
    try (ResultSet rs = pstmt.executeQuery()) {
        // 处理结果
    }
}

错误做法（高危！）：

// 直接拼接 SQL（存在注入风险！）
String sql = "SELECT * FROM users WHERE username = '" + username + "'";
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(sql);

2. 使用 ORM 框架（如 Hibernate/JPA）

ORM 框架会自动生成参数化查询，减少手写 SQL 的注入风险。

Hibernate 示例：

// 使用 Hibernate Criteria API
CriteriaBuilder cb = session.getCriteriaBuilder();
CriteriaQuery<User> query = cb.createQuery(User.class);
Root<User> root = query.from(User.class);

query.where(
    cb.equal(root.get("username"), username),
    cb.equal(root.get("password"), password)
);

User user = session.createQuery(query).uniqueResult();

HQL 参数化：

String hql = "FROM User WHERE username = :username";
Query<User> query = session.createQuery(hql, User.class);
query.setParameter("username", username);
User user = query.uniqueResult();

3. 输入验证与过滤

白名单校验：

// 校验用户名是否符合规则（仅允许字母、数字、下划线）
if (!username.matches("^[a-zA-Z0-9_]{4,20}$")) {
    throw new IllegalArgumentException("Invalid username");
}

转义特殊字符（备用方案）：

如果必须拼接 SQL（如动态表名），需严格过滤：

// 使用 Apache Commons Text 转义
String safeInput = StringEscapeUtils.escapeSql(input); // 仅适用于简单场景，不推荐依赖！

4. 避免动态拼接 SQL

高危场景：动态表名、列名等无法通过 PreparedStatement 参数化。
安全做法：使用白名单校验合法值：

// 动态表名校验（只允许预定义的合法表名）
Set<String> validTables = Set.of("users", "products");
if (!validTables.contains(tableName)) {
    throw new IllegalArgumentException("Invalid table name");
}
String sql = "SELECT * FROM " + tableName; // 此时拼接是安全的

5. 数据库配置与权限

最小权限原则：应用使用的数据库账号应仅拥有 SELECT、INSERT、UPDATE 等必要权限，禁止 DROP、GRANT 等高危操作。
禁用敏感函数：如 MySQL 的 LOAD_FILE、INTO OUTFILE。

6. 其他安全措施

隐藏错误信息：

try {
    // 执行数据库操作
} catch (SQLException e) {
    // 生产环境返回通用错误，避免泄露细节
    logger.error("Database error", e);
    throw new RuntimeException("Internal server error");
}