Чӣ гуна метавон камбудиҳоро, ки бо ворид кардани коди SQL тавассути параметрҳо дар JDBC алоқаманданд, пешгирӣ кард?

Барои пешгирии заифиятҳое, ки бо ворид кардани коди SQL (SQL Injection) тавассути параметрҳо дар JDBC алоқаманданд, аз усулҳои зерин истифода мебаранд:

• PreparedStatement — истифодаи пурсишҳои параметрӣ, ки дар онҳо параметрҳо ҷудогона дода мешаванд ва мустақиман ба сатрҳои SQL дохил намешаванд. Ин монеъ мешавад, ки параметрҳо ҳамчун код тавзеҳ дода шаванд.

• Таҳлил ва муҳофизат кардани маълумоти воридотӣ — санҷиш ва тоза кардани маълумот пеш аз истифода дар пурсишҳо.

• Истифодаи ORM — масалан, Hibernate, ки автоматӣ пурсишҳои бехатар месозад.

Маслиҳат барои истифодаи PreparedStatement:

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

Ин усул имконияти ворид кардани коди SQL-и зараррасон тавассути параметрҳоро маҳдуд мекунад.