Spring JDBC是否提供针对SQL注入攻击的任何保护？

Question

Spring的JdbcTemplate抽象提供了许多功能,但它是否可以以提供SQL注入攻击保护的方式使用？

例如,就像使用PreparedStatement并使用正确定义的参数化获得的保护类型一样.

Answer 1

它肯定会.这个例子直接来自Spring 3.0文档(但在2.*中是相同的):

String lastName = this.jdbcTemplate.queryForObject( 
        "select last_name from t_actor where id = ?", 
        String.class, 1212L); 

正如您所看到的,它强烈支持预处理语句(它必须在幕后使用):使用占位符(?)指定参数并提供填充参数的对象数组.(最后一个参数是预期结果的类型,但这与此问题不太相关.)

您也可以使用a NamedParameterJdbcTemplate并提供a中的参数Map,这可能效率较低,但肯定更具助记符.