springboot项⽬防⽌sql注⼊
原⽂地址：blog.csdn/weixin_39728880/article/details/101029681
在项⽬中我们经常会遇到这些sql注⼊的问题，这边我介绍的是通过filter拦截的⽅式进⾏过滤⼀些sql脚本的注⼊，在平时编程的时候我们也要注意，在程序中编写sql脚本(l) ⽂件的时候能⽤#尽量⽤#，避免⼀个恶意攻击⽹站的⼈。
⾸先介绍⼀下#和$的区别：
1. #{}：占位符号，好处防⽌sql注⼊，⾃带单引号变量
2. ${}：sql拼接符号，原⽣变量
接下来介绍写在java项⽬中(springboot)如何通过webFilter防⽌sql注⼊：
/**
* sql注⼊过滤器
*/
@Component
@WebFilter(urlPatterns = "/*", filterName = "SQLInjection", initParams = { @WebInitParam(name = "regx", value = "(?:')|(?:--)|(/\\*(?:.| [\\n\\r])*?\\*/)|" +
"(\\b(select|update|and|or|delete|insert|trancate|char|into|substr|ascii|declare|exec|count|master|into|drop|execute)\\b)") })
public class SqlInjectFilter implements Filter{
  private String regx;
  @Override
  public void init(FilterConfig filterConfig) throws ServletException {
    = InitParameter("regx");
  }
  @Override
  public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
    HttpServletRequest req = (HttpServletRequest) servletRequest;
    Map parametersMap = ParameterMap();
    Iterator it = Set().iterator();
    while (it.hasNext()) {
      Map.Entry entry = (Map.Entry) it.next();
      String[] value = (String[]) Value();
      for (int i = 0; i < value.length; i++) {
        if (null != value[i] && value[i].)) {
          ("您输⼊的参数有⾮法字符，请输⼊正确的参数！");
          servletRequest.setAttribute("err", "您输⼊的参数有⾮法字符，请输⼊正确的参数！");
          servletRequest.setAttribute("pageUrl",RequestURI());
          ServletContext().getContextPath() +
"/error").forward(servletRequest, servletResponse);
          return;
        }
      }
    }
  }
  filterChain.doFilter(servletRequest, servletResponse);
　}
  @Override
  public void destroy() {
spring framework高危漏洞
  }
}
启动类上记得加注解：
@ServletComponentScan(basePackages ="filter") //filter所在的包，扫描

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。