JAVA中防止SQL注入(使用PreparedStatement 方案)
???? SQL注入攻击是利用是指利用设计上的漏洞在目标服务器上运行Sql语句以及 进行其他方式的攻击，动态生成Sql语句时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因。
??? 对于JDBC而言，SQL注入攻击只对Statement有效，对PreparedStatement 是无效的这是因为PreparedStatement不允许在不同的插入时改变查询的逻辑结构。?
??? 如验证用户是否存在的SQL语句为 ：?
??? select count(*) from usertable where name='用 户 名 ' and pswd='密 码 '
??? 如果在用户名字段中输 入 ' or '1'='1' or '1'='1或是在密码字段中输入 1' or '1'='1将绕过验证，但这种手段只对只对 Statement有效，对PreparedStatement无效。?
??? PreparedStatement 相 对 Statement有以下 优 点：?
??? 1.防注入攻 击?
??? 2.多次运行速度快?
??? 3.防止数据库缓冲区溢出?
??? 4.代码的可读性可维护性好?
??? 这四点使得 PreparedStatement 成为访问数据库的语句对象的首选，缺点是灵活性不够好,有些场合还是必须使用Statement。?
