[java] Java-SQL 삽입을 방지하는 이스케이프 문자열

PreparedStatement는 SQL 삽입을 불가능하게하기 때문에 갈 길입니다. 다음은 사용자 입력을 매개 변수로 사용하는 간단한 예입니다.

public insertUser(String name, String email) {
   Connection conn = null;
   PreparedStatement stmt = null;
   try {
      conn = setupTheDatabaseConnectionSomehow();
      stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");
      stmt.setString(1, name);
      stmt.setString(2, email);
      stmt.executeUpdate();
   }
   finally {
      try {
         if (stmt != null) { stmt.close(); }
      }
      catch (Exception e) {
         // log this error
      }
      try {
         if (conn != null) { conn.close(); }
      }
      catch (Exception e) {
         // log this error
      }
   }
}

이름과 이메일에있는 문자가 무엇이든 해당 문자는 데이터베이스에 직접 배치됩니다. 어떤 식 으로든 INSERT 문에 영향을 미치지 않습니다.

각기 다른 데이터 유형에 대해 서로 다른 설정 방법이 있습니다. 사용하는 방법은 데이터베이스 필드에 따라 다릅니다. 예를 들어, 데이터베이스에 INTEGER 열이 있으면 setInt메소드를 사용해야합니다 . PreparedStatement 문서 에는 데이터 설정 및 가져 오기에 사용할 수있는 다양한 방법이 모두 나열되어 있습니다.

답변

s = s.replaceAll("['\"\\\\]", "\\\\$0");

s = s.replaceAll("\n", "\\\\n");

s = s.replaceAll("\n", "\\\\\\\\n");