sql注入漏洞源代码示例

SQL注入是一种常见的网络攻击技术，攻击者通过在Web表单输入或通过修改URL中的参数，向后台数据库插入恶意的SQL语句，从而控制或访问数据库系统。SQL注入可以利用应用程序中的安全漏洞，如不安全的数据库查询、不恰当的用户输入处理等。下面是一个简单的SQL注入漏洞源代码示例：

String username = request.getParameter("username");
String password = request.getParameter("password");

String query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery(query);

上述代码中，程序通过`request.getParameter`方法获取用户输入的`username`和`password`，然后将这些参数直接拼接到SQL查询语句中。如果攻击者在用户名或密码字段中输入特定的SQL代码片段，例如`' OR '1'='1`，则可能会导致SQL注入攻击，因为这样会构造出一个总是为真的查询条件。

为了防止SQL注入，应当使用参数化查询或者预编译语句，并且对用户输入进行严格的验证和清理。下面是使用预编译语句防范SQL注入的改进示例：

String username = request.getParameter("username");
String password = request.getParameter("password");

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet resultSet = pstmt.executeQuery();

在预编译语句中，使用占位符（在本例中为问号`?`）代替直接拼接SQL语句的方式，然后通过`setString`方法绑定参数值，可以有效防止SQL注入。