标签：
那为什么出现以上问题呢？这是程序代码层控制不当导致的。如果web前端对输入数据控制严格，会对数据库进行操作的字符串，在客户端做敏感字符转义处理，或者在操作数据库的dao层，使用动态参数的sql，不使用拼接方式的sql，都可以防止该类问题的发生。
一般情况，如果测试人员了解dao层的具体设计，如果使用的就是非拼接方式的，基本是可以拦截大部分这些存在问题的sql了。而如果使用的是拼接方式，就可以好好的设计测试用例，进行测试了。
那又为什么非拼接方式就可以有效的防止SQL注入测试呢？
修改上部分核心代码块，采用动态sql（预编译sql方式）：
String hql="delete from Department where name=?";
Query query = session.createQuery(hql);
query.setString(0, name);
同样输入的代码存在问题：
可是结果却没有删除。为什么呢？
因为在setString方法中实现了对字符串中敏感字符的转义。Jdk提供PreparedStatemen接口，在mysql的jar包中，PreparedStatement实现了jdk中的PreparedStatement，里面的setString方法如下：
- public void setString(int parameterIndex, String x) throws SQLException {
- // if the passed string is null, then set this column to null
- if (x == null) {
- setNull(parameterIndex, Types.CHAR);
- } else {
- StringBuffer buf = new StringBuffer((int) (x.length() * 1.1));
- buf.append(‘\‘‘);
-
- int stringLength = x.length();
- //
- // Note: buf.append(char) is _faster_ than
- // appending in blocks, because the block
- // append requires a System.arraycopy()....
- // go figure...
- //
- for (int i = 0; i < stringLength; ++i) {
- char c = x.charAt(i);
-
- switch (c) {
- case 0: /* Must be escaped for ‘mysql‘ */
- buf.append(‘\\‘);
- buf.append(‘0‘);
-
- break;
-
- case ‘\n‘: /* Must be escaped for logs */
- buf.append(‘\\‘);
- buf.append(‘n‘);
-
- break;
-
- case ‘\r‘:
- buf.append(‘\\‘);
- buf.append(‘r‘);
-
- break;
-
- case ‘\\‘:
- buf.append(‘\\‘);
- buf.append(‘\\‘);
-
- break;
-
- case ‘\‘‘:
- buf.append(‘\\‘);
- buf.append(‘\‘‘);
-
- break;
-
- case ‘"‘: /* Better safe than sorry */
- if (this.usingAnsiMode) {
- buf.append(‘\\‘);
- }
-
- buf.append(‘"‘);
- break;
-
- case ‘\032‘: /* This gives problems on Win32 */
- buf.append(‘\\‘);
- buf.append(‘Z‘);
-
- break;
- default:
- buf.append(c);
- }
- }
-
- buf.append(‘\‘‘);
-
- String parameterAsString = buf.toString();
-
- byte[] parameterAsBytes = null;
-
- if (!this.isLoadDataQuery) {
- parameterAsBytes = StringUtils.getBytes(parameterAsString,
- this.charConverter, this.charEncoding, this.connection
- .getServerCharacterEncoding(), this.connection
- .parserKnowsUnicode());
- } else {
- // Send with platform character encoding
- parameterAsBytes = parameterAsString.getBytes();
- }
-
- setInternal(parameterIndex, parameterAsBytes);
- }
- }
Hql进行动态参数绑定也存在很多种其他方法：按参数名称绑定，按参数位置绑定， setParameter()方法等等。http://baike.baidu.com/link?url=NKt6I-Gk0HnyFRWyZ0_ZuDe0pz_aDqVul-VDJZCDCGl9K5LsBghBfxhPVJmZh9qmBKtXgY2EqAqK1oQUNK2Su_
java web sql注入测试(3)---现象分析
标签：
原文地址：http://www.cnblogs.com/loleina/p/5013947.html
