Лучший способ проверить пользовательский ввод JDBC?

Question

Есть ли встроенный способ избежать пользовательского ввода в Java с помощью JDBC? Нечто похожее на функцию PHP версии mysql_real_escape(). Каков наилучший способ проверки ввода?

Answer 1

Если вы имеете в виду, как убедиться, что пользовательский ввод не может быть использован при атаках с использованием SQL-инъекций, способ сделать это (и способ, которым весь SQL должен быть записан в JDBC), - использовать Подготовленные операторы. JDBC автоматически обработает любой необходимый выход.

http://java.sun.com/docs/books/tutorial/jdbc/basics/prepared.html

Answer 2

Просто чтобы добавить к предложению @skaffman, PreparedStatements решает проблему для большинства приложений. Однако в некоторых приложениях (части) операторов SQL (в отличие от просто значений параметров) берутся из пользовательского ввода (например, параметр URL, содержащий предложение ORDER BY). Просто убедитесь, что вы их дезинфицируете или, что еще лучше, избегайте таких конструкций, если это возможно.