判断以及防止SQL注入

• 1
• 2

• 1
• 2

没有“/“，表单中enctype=”multipart/form-data”的意思，是设置表单的MIME编码。默认情况，这个编码格式是application/x-www-form-urlencoded，不能用于文件上传；只有使用了multipart/form- data，才能完整的传递文件数据，进行下面的操作. 
3.绑定变量，使用预编译语句 
实际上，绑定变量使用预编译语句是预防SQL注入的最佳方法，使用预编译的SQL语句语义不会发生改变。在SQL语句中，变量用问号？表示，黑客即使本事再大，也无法改变SQL语句的格式，从根本上杜绝了SQL注入攻击的发生。 
4.数据库信息加密安全 
有时候数据库信息泄露了，我们应该对数据库的密码等信息进行加密（MD5等），这样信息泄露，损失也可以在控制在一定范围内。

使用JSP的时候要注意 
1.不要随意开一生产环境汇总Webserver的错误显示。 
2.永远不要相信来自用户端的变量输入，有固定格式的变量一定要严格检查对应的格式，没有固定格式的变量需要对引号等特殊字符进行必要的过滤转义。 
3.使用预编译绑定变量的SQL语句 
4.做好数据库账号权限管理 
5.严格加密处理用户机密信息

一个好的程序一定要注意安全性，否则只适合练手。

判断以及防止SQL注入

标签：web   字符   data   适合   target   bsp   常用   数据   nbsp