注入時使用spring和mysql

Question

我使用MySQL作爲後端和Spring作爲框架工作 我知道Spring不支持注入，這是否意味着數據庫是安全的，我不必在MySQL中處理注入？

Answer 1

SQL injection是你絕對想避免的。這不是數據庫或框架支持的東西。這是一次攻擊。你想避免的東西。它不會被任何框架解決。

您必須瞭解SQL注入攻擊是什麼以及什麼時候可以發生，並採用編碼的良好做法以避免它們：始終使用prepared statements，並且永遠不會通過追加來自不可信源的值動態創建SQL查詢。

總之，而不是做

String sql = "select a, b from some_table where d = '" + valueEnteredByUser + "'"; 

做到以下幾點：

String sql = "select a, b from some_table where d = ?" 

，然後創建一個準備好的聲明，並結合valueEnteredByUser的查詢參數。

就這麼簡單。