Spring JDBCはSQLインジェクション攻撃から何らかの保護を提供しますか？

Question

SpringのJdbcTemplate抽象化は多くの機能を提供しますが、SQLインジェクション攻撃から保護するような方法で使用できますか？

たとえば、保護の種類のように、適切に定義されたパラメータ化を使用してPreparedStatementを使用するとします。

Answer 1

最も確かにします。この例では、まっすぐ春3.0のドキュメント（ただし、2 *に同じである）からである：あなたが見ることができるように

String lastName = this.jdbcTemplate.queryForObject( 
     "select last_name from t_actor where id = ?", 
     String.class, 1212L); 

、それは強く恩恵は、それはあなたのために舞台裏で使用している必要がありステートメントを（準備）：プレースホルダ（?）でパラメータを指定し、パラメータを満たすオブジェクトの配列を指定します。

NamedParameterJdbcTemplateを使用して、Mapのパラメータを指定することもできます（これはおそらく効率的ではありませんが、ニーモニックが確実に高くなる可能性があります）。