¿Cómo escapar de los parámetros proporcionados por el usuario con una consulta SQL?

Question

Intentando comenzar con JDBC (usando Jetty + MySQL). No estoy seguro de cómo escapar de los parámetros proporcionados por el usuario en una declaración de SQL. Ejemplo:

String username = getDangerousValueFromUser(); 
Statement stmt = conn.createStatement(); 
stmt.execute("some statement where username = '" + username + "'")); 

¿Cómo escapamos de "nombre de usuario" antes de usarlo con una instrucción?

Answer 1

Use Prepared statement.

por ejemplo:

con.prepareStatement("update Orders set pname = ? where Prod_Id = ?"); 
pstmt.setInt(2, 100); 
pstmt.setString(1, "Bob"); 
pstmt.executeUpdate(); 

Se evitará la inyección de SQL en bruto

Si quieres escapar cadena SQL a continuación, comprobar si hay StringEscapeUtils.escapeSql(). Tenga en cuenta que este método fue deprecated in Commons Lang 3.

también vemos

• does-using-preparedstatement-mean-there-will-not-be-any-sql-injection