Question

私はそれが仕事の罰金

con = DriverManager.getConnection("", "", ""); 

Statement statement = con.createStatement(); 

ResultSet rs= statement.executeQuery("SELECT email,pass FROM db_pass where email='" + email + "'and pass='" + password + "'" ); 

if (rs.next()) { 

    String a=rs.getString(1); 
    String b=rs.getString(2); 
    rs.close(); 

のログインするためのコードの下に使用していますSQLインジェクション を防止するための方法を

しかし、それは置いとき（ニティンまたは 『1』 = '1）ユーザーはせずにアクセスを取得しています有効なパスワードを設定する

Answer 1

PreparedStatementを使用してください。例を見つけることができますhttp://docs.oracle.com/javase/tutorial/jdbc/basics/prepared.html

SQL injectionを避けるには、すべてのクエリをパラメータ化し、 動的連結を使用して動的SQLを作成しないでください。

Answer 2

これを実行する典型的かつ簡単な方法は、ハッシュ操作（md5またはsha1）の結果を比較することです。クエリは、これはあなたがこれを開発しているし、あなたのDB-Systemは、あまりにも利用可能MD5機能を持つ言語で利用可能なMD5機能を持っていることを意味するであろう、しかし

SELECT email, pass from db_pass where md5(email)='" + md5(email) + "' and md5(pass)='" + md5(password) + "'" 

のようになります（たとえば、MySQLはありません） 。これはSQLインジェクションを完全に不可能にするわけではありませんが、あなたが与えた例に対する優れた基本的な保護です。

Answer 3

ORM（オブジェクトリレーショナルマッパー）を使用することをお勧めします。 ORMには、通常、SQLインジェクションに対する防御機能が組み込まれています。

SQLインジェクションを防ぐもう1つの優れた方法は、ホワイトリスト（受け入れ可能なユーザー入力のリスト）を使用することです。ユーザーからの入力を受け取ったら、それがホワイトリストに入っているかどうかを確認します。それが拒否されなければ。

あなたの場合、可能なユーザー名のホワイトリストと可能なパスワードのホワイトリストが必要です。正規表現を使用して、ユーザー名のホワイトリストとパスワードのホワイトリストを記述することができます。あなた自身の正規表現を自作してはいけませんが、オンラインで利用可能なあらかじめ構築された正規表現がたくさんあります。 SQLインジェクションに脆弱になるという誤った表現をするのは簡単だから、自分で作ってはいけません。

これは、幸運を助けることを願っています！

Answer 4

文字列がabc 'の場合は文字列を変換する必要があります。文字列が' 'のような場合は文字列abc' 'をsqlに渡す必要があります。