甚么是SQL注入？

SQL注入是指攻击者通过修改利用程序的输入参数，向数据库里注入歹意SQL语句，从而获得或破坏数据库数据的攻击行动。如果Web利用程序没有很好地预防SQL注入，攻击者将能够履行任意的SQL语句，并可能致使非常严重的安全问题。

JSP中如何预防SQL注入？

要避免SQL注入攻击，我们需要在编写JSP代码时采取以下措施：

1. 禁用没必要要的SQL语句，例如“@”符号。
2. 不要将传递给数据库的数据直接拼接到SQL语句中，由于攻击者可以利用这个来注入代码。相反，可使用占位符代替SQL语句中的变量，然后将变量通过PreparedStatement设置进去，这样能够在更高的安全级别下履行SQL语句。
3. 过滤输入，例如，如果一个利用程序只接收数字，那末在SQL语句中的变量，需要使用过滤器限制输入的数据类型。
4. 使用符合安全规范的数据库连接池来管理JDBC连接。连接池可以挂起和复用利用程序使用的连接。
5. 尽可能避免在JSP页面中出现Java类和SQL语句。将Java类和SQL语句抽离出来，以便更好地管理。

预防SQL注入的最好实践

在JSP代码中，预防SQL注入的最好实践以下：

1. 永久不要信任用户的输入。一定要使用过滤器和正则表达式进行数据输入校验，以免歹意代码过滤到您的数据库中。
2. 使用PreparedStatement，一定不要使用Statement。前者可以解决SQL注入攻击的展开问题，而使用后者会让攻击者通过简单的语法盗取您的数据。
3. 使用escapecharacter来避免特殊字符的注入。例如可以把'和转义，使其成为不会破坏我们的语法的可见字符。
4. 最好的预防方式是使用正式的编码规范，如OWASP，每一个开发人员都应当积极获得和浏览它们的安全指南。

桂{哥{网{络www.gUIgeGe.cn