梁天一

【摘要】 互联网的高速发展使得网络安全成为各界关注的焦点问题。人们把在电子商务、社交网络等互联网应用中产生的大量重要数据存储于数据库中，而这些数据库便成为网络黑客的攻击目标。目前，SQL注入攻击是网络中最为猖獗的黑客攻击行为之一。本文将详细阐述SQL注入式攻击的原理，并给出在Java Web应用程序中防御SQL注入攻击的有效方法。

【关键词】 SQL注入 网络安全 数据库 Java Web 防御

如今，互联网已经融入现代社会的方方面面，电子商务、社交网络、在线教育（MOOC）已经成为当下人们生活不可或缺的组成。人们在使用这些互联网应用时，会产生大量与自身相关的数据存储在数据库中。由于这些数据的潜在价值（如个人隐私数据、网银账户等），使得它们成为网络黑客主要的攻击目标之一。目前，最为常见的、破坏性最强的针对互联网应用数据库系统的攻击方式是SQL注入攻击。综合统计资料来看，SQL注入约占据互联网安全威胁性事件总数的1/3，且程逐年递增趋势；DB Networks的统计表明，2014年SQL注入漏洞数量较2013年增长104%[1]。因此，本文将探讨、研究注入技术背后的原理、实施方法和分类，来更好的应对这类攻击；同时结合Java Web开发技术，给出在Java Web应用程序中防御SQL注入攻击的有效方法。

一、SQL注入攻击的原理

SQL注入攻击（SQL Injection Attack， SQLI），是指利用应用程序层与数据库层之间的安全漏洞、通过恶意SQL语句攻击这些漏洞来非法获取目标数据的行为。简单来说，精心设计的恶意SQL语句会从应用程序前端提交至后台数据库执行，执行过程中应用程序开发者编写的原始SQL语句会被恶意语句篡改，从而暴露攻击者想要获取的隐私数据。……