Java 防SQL注入过滤器代码

小咪咪 2022-05-31 23:07 361阅读 0赞

## 前言 ##

浅谈SQL注入：  
       所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，达到一定的非法用途。

--------------------

## 解决办法 ##

1、配置WEB-INF/web.xml

<web-app>
    
    	<welcome-file-list>
    		<welcome-file>index.html</welcome-file>
    	</welcome-file-list>
    	
    	
    	<filter>  
            <filter-name>SqlInjectFilter</filter-name>  
            <filter-class>com.seesun2012.web.core.filter.SqlInjectFilter</filter-class>  
    		
    		<init-param>
    			<param-name>sqlInjectStrList</param-name>
    			<param-value>'|or|and|;|-|--|+|,|like|//|/|*|%|#</param-value>
    		</init-param>
        </filter>
        <filter-mapping>  
            <filter-name>SqlInjectFilter</filter-name>  
            <url-pattern>/*</url-pattern>  
    	</filter-mapping>
    	
    </web-app>

2、过滤器SqlInjectFilter.java类

package com.seesun2012.web.core.filter;
    
    import java.io.IOException;
    import java.util.Enumeration;
    
    import javax.servlet.Filter;
    import javax.servlet.FilterChain;
    import javax.servlet.FilterConfig;
    import javax.servlet.ServletException;
    import javax.servlet.ServletRequest;
    import javax.servlet.ServletResponse;
    import javax.servlet.http.HttpServletRequest;
    
    /** * SQL注入过滤器 * @author CSDN：seesun2012 * @version 0.0.1-SNAPSHOT * @Date 2018-01-14 */
    public class SqlInjectFilter implements Filter{ 
    	
    	public FilterConfig config;
    
    	@Override
    	public void destroy() { 
    		this.config = null;
    	}
    
    	@Override
    	public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { 
    		HttpServletRequest httprequest = (HttpServletRequest) request;
    		// 获得所有请求参数名
    		Enumeration<?> params = httprequest.getParameterNames();
    		String sql = "";
    		while (params.hasMoreElements()) { 
    			// 得到参数名
    			String name = params.nextElement().toString();
    			// 得到参数对应值
    			String[] value = httprequest.getParameterValues(name);
    			for (int i = 0; i < value.length; i++) { 
    				sql = sql + value[i];
    			}
    		}
    		// 过滤掉的SQL关键字，可以手动添加
    		String sqlInjectStrList = config.getInitParameter("sqlInjectStrList");
    		if (sqlValidate(sql, sqlInjectStrList)) { 	
    			throw new IOException("请输入有效字符");
    			// 重定向或跳转，略...
    		} else { 
    			chain.doFilter(request, response);
    		}
    	}
    	      
    	// 校验SQL
    	protected static boolean sqlValidate(String str, String sqlInjectStrList) { 
    		// 统一转为小写
    		str = str.toLowerCase();
    		// 转换为数组
    		String[] badStrs = sqlInjectStrList.split("\\|");
    		for (int i = 0; i < badStrs.length; i++) { 
    			// 检索
    			if (str.indexOf(badStrs[i]) >= 0) { 
    				return true;
    			}
    		}
    		return false;
    	}
    
    	@Override
    	public void init(FilterConfig filterConfig) throws ServletException { 
    		config = filterConfig;
    	}
    
    }

--------------------

## 备注 ##

*  相关说明文档：[SQL注入（百度知道）][SQL]
 *  相关测试案例：[SQL注入实战（仅供测试学习）][SQL 1]
 *  本文仅供Java相关学习交流与Web防御，请勿用于非法攻击或非法操作以及商业攻击，后果自行承担！

注：以上内容仅提供参考和交流，请勿用于商业用途，如有侵权联系本人删除！

--------------------

## 持续更新中… ##

如有对思路不清晰或有更好的解决思路，欢迎与本人交流，QQ群：273557553，个人微信：  
你遇到的问题是小编创作灵感的来源！

--------------------

[SQL]: https://baike.baidu.com/item/sql%E6%B3%A8%E5%85%A5/150289?fr=aladdin
[SQL 1]: http://blog.jobbole.com/105586