爲什麼說盡量使用preparedStatement 代替 statement

使用statement可能存在sql 注入的風險，下面是測試sql injection 的demo 假設登錄的sql是通過字符串拼接出來的，那麼我只要在用戶名框裏填上" 'xjbt' or 1=1 -- " 就可以無視判斷直接進入系統，因爲or 1=1恆成立，"--"將1=1後的語句全部註釋，所以肯定能查出數據，當然，現在的網站都會做基本的防sql注入處理，不過出於安全性考慮，帶參數的sql都應該

>>阅读原文<<