针对 SQL 注入漏洞的防护，最核心且推荐的优化方案是使用预编译语句（PreparedStatement）替代传统的字符串拼接。以下是优化后的 Java 代码示例及其详细原理解释。
- 优化后的代码示例
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
public class SecureLoginService {
/**
* 安全登录验证方法
* @param username 用户输入的用户名
* @param password 用户输入的密码
* @return 登录是否成功
*/
public boolean loginSafe(String username, String password) {
// 假设 connection 是已获取的有效数据库连接对象
Connection connection = null;
PreparedStatement pstmt = null;
ResultSet rs = null;
try {
// 1.定义 SQL 模板，使用 ? 作为占位符
// 注意：这里不再包含任何用户输入的数据，只有固定的 SQL 结构
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
// 2. 创建预编译语句对象
pstmt = connection.prepareStatement(sql);
// 3. 绑定参数
// setString(1, username) 表示将第一个问号替换为 username 的值
// setString(2, password) 表示将第二个问号替换为 password 的值
pstmt.setString(1, username);
pstmt.setString(2, password);
// 4. 执行查询
rs = pstmt.executeQuery();
// 5. 判断结果
return rs.next();
} catch (SQLException e) {
e.printStackTrace();
return false;
} finally {
// 6. 资源释放（实际项目中建议使用 try-with-resources自动关闭）
try { if (rs != null) rs.close(); } catch (SQLException e) { e.printStackTrace(); }
try { if (pstmt != null) pstmt.close(); } catch (SQLException e) { e.printStackTrace(); }
// connection 通常由连接池管理，此处省略关闭逻辑
}
}
}
- 详细原理解释
A. 为什么能防止 SQL 注入？
SQL 注入的根本原因是数据与代码混淆。在传统的字符串拼接中，用户输入的内容被直接当作 SQL 指令的一部分解析。
传统写法（危险）：
String sql = "SELECT * FROM users WHERE username = '" + username + "'";
如果用户输入 admin' --，生成的 SQL 变为：
SELECT * FROM users WHERE username = 'admin' --'
数据库会将 -- 识别为注释符，导致后续的密码校验被忽略，从而绕过验证。
预编译写法（安全）：
java
String sql = "SELECT * FROM users WHERE username = ?";
pstmt.setString(1, username);
核心机制：
语法解析与编译分离：数据库首先接收 SQL 模板 SELECT * FROM users WHERE username = ? 并进行语法解析、编译和优化，生成执行计划。此时，数据库已经确定了这条语句的逻辑结构。
参数纯数据处理：当调用 setString 绑定参数时，数据库将传入的值（如 admin' --）严格视为纯文本数据，而不是 SQL 代码的一部分。
自动转义：驱动程序会自动对特殊字符进行转义或编码。即使输入中包含 '、--、; 等敏感字符，它们也只会被当作普通字符串内容匹配，不会改变 SQL 的执行逻辑。因此，admin' -- 会被当作一个完整的用户名字符串去数据库查找，而不会截断 SQL 语句。
B. 性能优势
除了安全性，预编译语句在性能上也有显著优势：
减少编译开销：对于相同结构的 SQL 语句，数据库只需编译一次。后续执行不同参数时，直接复用缓存的执行计划，避免了重复的语法分析和优化过程。
批量操作高效：在插入大量数据时，可以使用 addBatch() 和 executeBatch() 方法，显著减少网络交互次数和数据库解析负担。
C. 代码可维护性
结构清晰：SQL 逻辑与业务数据分离，代码更易读。
类型安全：PreparedStatement 提供了 setInt, setDate, setString 等方法，有助于在编译期或运行早期发现类型不匹配错误，减少因手动拼接导致的格式错误。
- 注意事项与局限性
虽然预编译语句能防御绝大多数 SQL 注入，但需注意以下场景：
动态表名或列名：
预编译语句的占位符 ? 只能用于替换值（Value），不能用于替换表名、列名或 SQL 关键字（如 ORDER BY 后的字段）。
错误用法：String sql = "SELECT * FROM ? WHERE id = ?"; （这是非法的）
正确做法：如果表名或列名需要动态指定，必须通过白名单机制进行严格校验，确保输入值只在允许的范围内，然后再拼接到 SQL 中。
LIKE 查询：
在使用 LIKE 时，通配符 % 和 _ 需要在 Java 代码中处理，而不是直接让用户输入包含通配符的字符串进入占位符，除非业务允许模糊搜索。
示例：pstmt.setString(1, "%" + userInput + "%");
资源管理：
务必确保 PreparedStatement、ResultSet 和 Connection 在使用后被正确关闭，推荐使用 Java 7 引入的 try-with-resources 语句来自动管理资源，防止内存泄漏。
通过采用预编译语句并遵循上述最佳实践，可以构建出既安全又高效的数据库交互代码。