首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

jsqlparser:实现基于SQL语法分析的SQL注入攻击检查

之前写过一篇博客:《java:正则表达式检查SQL WHERE条件语句防止注入攻击和常量表达式》,当前时通过正则表达式来检查SQL语句中是否有危险关键字和常量表达式实现SQL语句的注入攻击检查。坦率的说,这个办法是有漏洞的,误判,漏判的概率很大,基于当前我的知识能力,也只能做到这样。 最近学习了jsqlparser,我知道我找到了更好的办法来解决SQL注入攻击检查问题。 jsqlparser是一个java的SQL语句解析器,在上一篇博客:《jsqlparser:基于抽象语法树(AST)遍历SQL语句的语法元素》介绍了如何通过jsqlparser来遍历SQL语句中所有的字段和表名引用。 其实它可以用来进行更复杂的工作,jsqlparser会将一条SQL语句的各种语法元素以抽象语法树(AST,abstract syntax tree)形式解析为很多不同类型对象,通过对AST的遍历就可以对SQL语句进行分析。采用这种方式做SQL注入攻击检查不会有误判,漏判的问题。

02

动态代理工具类

我刚刚想着每次写动态代理的时候都会写很多的代码,有点不值得,所以我写了一个实现动态代理的工具类,用户可以用JDK动态代理也可以使用CGLIB动态代理,我的ProxyUtils中提供了三种开发动态代理的方式,在实际用的过程中,可以继承Intercepter这个抽象类实现在逻辑代码前后添加控制代码,如果控制代码返回true那么证明可以通过,如果控制代码返回false说明验证不通过,如果不通过那么就返回你逻辑代码中返回的“0”值,如果你逻辑代码返回对象,那么会返回null,如果是其他类型则返回各种类型的零值,用的时候可以实现Intercepter类,也可以用匿名内部类,随你喜欢,下面是我的代码,一段代码代表一个文件,过后我会将代码再好好,封装然后打成一个jar包:

01
领券