Ինչպես կարելի է կանխել JDBC-ում SQL կոդի ներմուծման հետ կապված թերությունները?

Ճիշտ կանխարգելելու համար, կապված SQL (SQL Injection) հարձակումների հետ JDBC-ում պարամետրերի միջոցով, օգտագործվում են հետևյալ մեթոդները՝

• PreparedStatement — պարամետրային հարցումների օգտագործում, որտեղ պարամետրերը փոխանցվում են առանձին և չեն ներմուծվում անմիջապես SQL տողում։ Սա կանխում է պարամետրերի որպես կոդ մեկնաբանելու հնարավորությունը։

• Մուտքային տվյալների վավերացում և escape — տվյալների ստուգում և մաքառում հարցումների նախորդ։

• ORM օգտագործում — օրինակ, Hibernate, որը ավտոմատորեն ստեղծում է անվտանգ հարցումներ։

Օրինակ՝ PreparedStatement-ի օգտագործման:

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

Այս մոտեցումը բացառում է վնասակար SQL կոդի ներմուծման հնարավորությունը պարամետրերի միջոցով։