如何优雅的防止 sql 注入？

[cocalrush]

最近遇到一个麻烦，有一个文本框可以输入任何文本。
现在的解决方案是拦截参数里面的敏感符号（-- ‘ 等）和敏感词（ select and 等），但是总觉得不够好。
想请问下如何优雅的防止 sql 注入呢？
非常感谢。

[Ouyangan]

PreparedStatement . 学习的时候没讲过么...

[penjianfeng]

一看就是被知乎害的，啥事儿都要来个”优雅“， WTF ，你先说吧 sql 注入给搞定再说优雅不优雅吧，没学会走就像跑了

[powergx]

orm

[hqs123]

这个没有优雅不优雅之说，只能预防和发生入侵启用紧急方案。

[yangxiongwei]

既然是 Java 项目，用 Druid 做数据源吧

Druid 基于 SQL 语义分析来实现防御 SQL 注入攻击。

[hgc81538]

各種語言對注入的解決方法，可參考
http://bobby-tables.com

[500miles]

我靠靠靠靠靠靠靠靠

嘛玩意儿都要优雅...............

被人脱裤了最优雅

[cocalrush]

@hgc81538 哈哈 这个有趣~ 感谢。

[muzuiget]

现在还手工拼 SQL ？

[redkei]

如何优雅的。。。？

＊＊是一种什么样的体验？

对不起看到这种知乎风就反胃，忍不住吐槽下能不能正常说话

[kendetrics]

参数化

[canesten]

用 Java 的没听过 MyBatis 么

[fwings260]

借楼问问，防 SQL 注入，前端能做啥？

[crazycen]

不用 sql 就好

[Garantion]

@virusdefender 刚刚还想说长亭的 sqlchop 支持！

[ivvei]

Java 就不能 PrepareStatement 了？一样可以的吧！

[mornlight]

@fwings260
SQL 注入是服务端问题，前端啥都干不了，前端做的把戏只能骗骗无聊用户。

[dallaslu]

为每一条 SQL 写一个正则判断。如：

select * from user where username='v2ex' and password='235512'

对应正则

^select \* from user where username='\w+' and password='\w+'$

[cevincheung]

@dallaslu 这要是写个大系统不要死

[dallaslu]

@cevincheung 你要优雅还是要命