JdbcTemplate 本身已经内置了对 SQL 注入的防护机制。在使用 JdbcTemplate 时,你需要使用参数化查询(PreparedStatement)而不是直接拼接 SQL 语句。这样可以确保用户输入的数据不会被解释为 SQL 代码,从而防止 SQL 注入攻击。
以下是使用 JdbcTemplate 进行参数化查询的示例:
import org.springframework.jdbc.core.JdbcTemplate;
import org.springframework.jdbc.core.RowMapper;
import javax.sql.DataSource;
import java.util.List;
public class UserDao {
private JdbcTemplate jdbcTemplate;
public UserDao(DataSource dataSource) {
jdbcTemplate = new JdbcTemplate(dataSource);
}
public List<User> findUsersByName(String name) {
String sql = "SELECT * FROM users WHERE name = ?";
return jdbcTemplate.query(sql, new Object[]{name}, new RowMapper<User>() {
@Override
public User mapRow(ResultSet rs, int rowNum) throws SQLException {
User user = new User();
user.setId(rs.getInt("id"));
user.setName(rs.getString("name"));
user.setEmail(rs.getString("email"));
return user;
}
});
}
}
在这个示例中,我们使用 ?
作为参数占位符,并将实际参数值(name
)传递给 query()
方法。JdbcTemplate 会自动处理参数值的转义和引用,从而防止 SQL 注入攻击。