It is well known that dynamically c

It is well known that dynamically created SQL statements including untrusted input are subject to command injection. This often takes the form of supplying an input containing a quote character (') followed by SQL. Avoid dynamic SQL.

For parameterised SQL statements using Java Database Connectivity (JDBC), use java.sql.PreparedStatement or java.sql.CallableStatement instead of java.sql.Statement. In general, it is better to use a well-written, higher-level library to insulate application code from SQL. When using such a library, it is not necessary to limit characters such as quote ('). If text destined for XML/HTML is handled correctly during output (Guideline 3-3), then it is unnecessary to disallow characters such as less than (

ผลลัพธ์ (ไทย) 1:

เป็นที่รู้จักกันดีว่า คำสั่ง SQL แบบไดนามิกสร้างป้อนข้อมูลไม่น่าเชื่อถือรวมทั้งอาจมีการสั่งฉีด นี้มักจะใช้รูปแบบของการจัดหาการป้อนข้อมูลที่ประกอบด้วยอักขระใบเสนอราคา (') ตาม ด้วย SQL หลีกเลี่ยงการ SQL แบบไดนามิกใน parameterised คำสั่ง SQL โดยใช้การเชื่อมต่อฐานข้อมูล Java (JDBC), ใช้ java.sql.PreparedStatement หรือ java.sql.CallableStatement แทน java.sql.Statement ทั่วไป จะดีกว่าการใช้ไลบรารีดีเขียน สูงกว่าช่วยรหัสแอพลิเคชันจาก SQL เมื่อใช้รีเช่น มันไม่จำเป็นต้องจำกัดตัวอักษรเช่นใบเสนอราคา (') ถ้าข้อกำหนด XML/HTML จะถูกจัดการอย่างถูกต้องระหว่างผลผลิต (ผลงาน 3-3), แล้วเป็นไม่จำเป็นจะไม่อนุญาตให้มีอักขระน้อยกว่า (คุณสมบัติ) ในอินพุตไปยัง SQL เช่นตัวอย่างการใช้ PreparedStatement อย่างถูกต้อง: สายอักขระ sql = "เลือก * จากผู้ใช้ userId =? "; PreparedStatement stmt = con.prepareStatement(sql) stmt.setString (1, userId); ResultSet เอส = prepStmt.executeQuery()

ผลลัพธ์ (ไทย) 2:

It is well known that dynamically created SQL statements including untrusted input are subject to command injection. This often takes the form of supplying an input containing a quote character (') followed by SQL. Avoid dynamic SQL.

For parameterised SQL statements using Java Database Connectivity (JDBC), use java.sql.PreparedStatement or java.sql.CallableStatement instead of java.sql.Statement. In general, it is better to use a well-written, higher-level library to insulate application code from SQL. When using such a library, it is not necessary to limit characters such as quote ('). If text destined for XML/HTML is handled correctly during output (Guideline 3-3), then it is unnecessary to disallow characters such as less than (<) in inputs to SQL.

An example of using PreparedStatement correctly:

String sql = "SELECT * FROM User WHERE userId = ?";
PreparedStatement stmt = con.prepareStatement(sql);
stmt.setString(1, userId);
ResultSet rs = prepStmt.executeQuery();

ผลลัพธ์ (ไทย) 3:

มันเป็นที่รู้จักกันดีว่าแบบไดนามิกสร้างงบ SQL รวมทั้งไม่น่าเชื่อถือข้อมูลอาจมีการสั่งฉีด นี้มักจะใช้รูปแบบของการจัดหาข้อมูลที่มีการอ้างอิงอักขระ ( ' ) ตามด้วย SQL หลีกเลี่ยง SQL แบบไดนามิก

สำหรับ parameterised งบ SQL โดยใช้การเชื่อมต่อฐานข้อมูล Java ( ตัวขับ JDBC ) ใช้ java.sql.preparedstatement หรือ java.sql.callablestatement แทน java.sql .คําสั่ง ในทั่วไป , มันเป็นการดีที่จะใช้เขียนดี , ห้องสมุดระดับเพื่อป้องกันโปรแกรมจากรหัส SQL เมื่อใช้เป็นห้องสมุด ไม่จำเป็นต้องจำกัดตัวอักษรเช่น quote ( ' ) ถ้าข้อความปลายทางสำหรับ XML / HTML จัดการอย่างถูกต้องในระหว่างออก ( แนว 3-3 ) แล้วมันไม่จำเป็นที่จะไม่อนุญาตให้มีตัวอักษรเช่นน้อยกว่า ( < ) ในปัจจัยการผลิตเพื่อ SQL .

ตัวอย่างของการใช้ preparedstatement อย่างถูกต้อง :

String SQL = " เลือก * จากผู้ใช้ที่มีหมายเลขผู้ใช้ = " ? ;
preparedstatement stmt = คอน preparestatement ( SQL ) ;
stmt . setstring ( 1 หมายเลข ) ;
resultset RS = prepstmt . executequery() ;