java写一段代码来检测是否存在SQL注入

下面是一个简单的Java代码示例，用于检测SQL注入攻击：

public static boolean isSafe(String str) {
    // 利用正则表达式检测是否包含SQL特殊字符
    String regex = ".*[;:'\"\\\\].*";
    if (str.matches(regex)) {
        return false;
    }
    // 利用第三方库Apache Commons Lang的工具类检测是否包含SQL注入关键词
    String[] sqlKeywords = {"select", "insert", "update", "delete", "drop", "truncate", "union", "exec", "script"};
    for (String keyword : sqlKeywords) {
        if (StringUtils.containsIgnoreCase(str, keyword)) {
            return false;
        }
    }
    return true;
}

上面的代码利用正则表达式和第三方库Apache Commons Lang提供的工具类来检测输入字符串中是否包含SQL特殊字符和SQL注入关键词。如果存在，则返回false，表示不安全；否则返回true，表示安全。你可以根据实际情况来调整和优化代码。

相关问题

帮我写一段代码，要求使用jdbc查询sql语句，规避sql注入漏洞，避免进行sql字符串拼接，sql中的标名是动态的

以下是一段使用JDBC进行SQL查询的代码，通过使用PreparedStatement来规避SQL注入漏洞，并避免进行SQL字符串拼接的例子：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class QueryExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/database_name";
        String username = "username";
        String password = "password";
        String sql = "SELECT * FROM table_name WHERE column_name = ?";
        String columnValue = "value";

        try (Connection connection = DriverManager.getConnection(url, username, password)) {
            PreparedStatement statement = connection.prepareStatement(sql);
            statement.setString(1, columnValue);
            ResultSet resultSet = statement.executeQuery();
            while (resultSet.next()) {
                // 处理结果集
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

通过使用PreparedStatement，我们可以使用占位符 `?` 代替SQL字符串中的动态值，然后使用 `setXXX` 方法（其中 `XXX` 是数据类型）设置真实的值。这样可以避免在SQL字符串中直接使用用户输入，从而规避SQL注入漏洞的风险。