statement和preparestatement 小问题

不安全版

Statement s = connection.createStatement();
ResultSet rs = s.executeQuery("SELECT email FROM member WHERE name = "+ formField); // *boom*

安全版

PreparedStatement ps = connection.prepareStatement("SELECT email FROM member WHERE name = ?");
ps.setString(1, formField);
ResultSet rs = ps.executeQuery();

statement的用户数据作为数据库语句的一部分传递进来的，因此在任何情况下，这个变量的内容都可以解析为SQL语句。而引号、分号、反斜杠、SQL注释表示法-其中的任何一个都不会产生任何特殊的效果，这个因为它们“只是数据”。这不会对其他东西造成破坏，因此这个应用很大程度上防止了SQL注入攻击。