package com.test;
 
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
 
/*
 * 研究PreparedStatement是如何防止sql注入的，我分析了一下，原來是mysql數(shù)據(jù)庫(kù)產(chǎn)商，在實(shí)
 * 現(xiàn)PreparedStatement接口的實(shí)現(xiàn)類中的setString(int parameterIndex, String x)函
 * 數(shù)中做了一些處理，把單引號(hào)做了轉(zhuǎn)義(只要用戶輸入的字符串中有單引號(hào)，那mysql數(shù)據(jù)庫(kù)產(chǎn)商的setString()這個(gè)函
 * 數(shù)，就會(huì)把單引號(hào)做轉(zhuǎn)義)
 */
public class TestConnMySql2 {
 
	public static void main(String[] args) {
		String connStr = "jdbc:mysql://localhost:3306/girls";
//		String sql = "select * from admin";
		String sql = "SELECT * FROM admin WHERE username = ? AND password = ?";
		try {
			Class.forName("com.mysql.jdbc.Driver");
			Connection connection = DriverManager.getConnection(connStr, "root", "root");
			System.out.println("數(shù)據(jù)庫(kù)連接=" + connection);
			//Statement無法防止sql注入
//			Statement stmt = connection.createStatement();
	//PreparedStatement可以有效防止sql注入，所以生產(chǎn)環(huán)境上一定要使用PreparedStatement，而不能使用Statement
			PreparedStatement prepareStatement = connection.prepareStatement(sql);
			prepareStatement.setString(1, "韋小寶");
			//模擬用戶輸入正常的值
//			prepareStatement.setString(2, "222");
			//測(cè)試sql注入(模擬用戶輸入非法的值)
			prepareStatement.setString(2, "222' OR '8'='8");
			/*
			 *上面那種的sql注入還算溫柔了，有些更可惡的用戶，他們輸入的非
			 *法的值是delete from tableName或truncate table tableName 這是十分危險(xiǎn)的,
			 * 更有甚者傳入drop table tableName;有些數(shù)據(jù)庫(kù)是不會(huì)讓你成功的,但也有很多數(shù)
			 * 據(jù)庫(kù)就可以使這些語句執(zhí)行，所以生產(chǎn)環(huán)境上一定要使用PreparedStatement，而不能使用Statement
			 */
			//測(cè)試sql注入(模擬用戶輸入非法的值)在mysql中#井號(hào)表示單行注釋(這是mysql中的基礎(chǔ)知識(shí)，我就不贅述了)
//			prepareStatement.setString(2, "'; DROP TABLE tableName;#");
			//測(cè)試sql注入(模擬用戶輸入非法的值)
//			prepareStatement.setString(2, "'; delete from tableName;#");
			//測(cè)試sql注入(模擬用戶輸入非法的值)
//			prepareStatement.setString(2, "'; truncate table tableName;#");
			
			ResultSet rs = prepareStatement.executeQuery();
			System.out.println("sql=" + prepareStatement.toString());
			int col = rs.getMetaData().getColumnCount();
			System.out.println("============================");
			while (rs.next()) {
				for (int i = 1; i <= col; i++) {
					System.out.print(rs.getString(i) + "\t");
					if ((i == 2) && (rs.getString(i).length() < 8)) {
						System.out.print("\t");
					}
				}
				System.out.println("");
			}
			System.out.println("============================");
			rs.close();
			prepareStatement.close();
			connection.close();
		} catch (ClassNotFoundException | SQLException e) {
			e.printStackTrace();
		}
 
	}
 
}

#用戶輸入正常合法的值
SELECT * FROM admin WHERE username = '韋小寶' AND `password` = '222';
#用戶輸入正常合法的值
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = '222';
 
#sql注入(用戶輸入非法的值)使用Statement對(duì)象，無法防止sql注入(會(huì)查詢出表的所有數(shù)據(jù))
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = '222' OR '8'='8'
#sql注入(用戶輸入非法的值)使用PreparedStatement對(duì)象，可以有效防止sql注入
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = '222\' OR \'8\'=\'8'
 
#sql注入(用戶輸入非法的值)使用Statement對(duì)象，無法防止sql注入(DROP操作很危險(xiǎn))
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = ''; DROP TABLE tableName;#'
#sql注入(用戶輸入非法的值)使用PreparedStatement對(duì)象，可以有效防止sql注入
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = '\'; DROP TABLE tableName;#'
 
#sql注入(用戶輸入非法的值)使用Statement對(duì)象，無法防止sql注入(TRUNCATE操作很危險(xiǎn))
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = ''; TRUNCATE TABLE tableName;#'
#sql注入(用戶輸入非法的值)使用PreparedStatement對(duì)象，可以有效防止sql注入
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = '\'; truncate table tableName;#'
 
#sql注入(用戶輸入非法的值)使用Statement對(duì)象，無法防止sql注入(DELETE操作很危險(xiǎn))
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = ''; DELETE FROM tableName;#'
#sql注入(用戶輸入非法的值)使用PreparedStatement對(duì)象，可以有效防止sql注入
SELECT * FROM admin WHERE username = '韋小寶' AND PASSWORD = '\'; delete from tableName;#'
 
#所以生產(chǎn)環(huán)境上一定要使用PreparedStatement，而不能使用Statement
 
/*
順便復(fù)習(xí)一下mysql中的3種注釋，我是多行注釋
*/
 
#我是單行注釋
 
-- 我也是單行注釋(注意：-- 這種注釋，后面必須要加一個(gè)空格，否則語法報(bào)錯(cuò))