Java Schutz vor MYSQL Injection

[Tockra]

Hallo Leute,

ich würde gerne wissen, wie ich in Java alle MYSQL Befehle aus einem String entfernen kann!

Gruß
Tim

 

[NiThDi]

WÜrde jetzt spontan behaupten, dass du einen String mittels Regular Expressions nach MYSQL Syntax absuchen kannst und die entsprechenden Passagen dann entfernen kannt.

Hab das allerdings noch nie gemacht und ist auch nur ein Ansatzpunkt, der das Problem aber wahrscheinlich recht elegant löst.

Ansnonsten gibts auch noch PreparedStatements, die sind wahrscheinlich etwas einfacher: http://stackoverflow.com/questions/1812891/java-escape-string-to-prevent-sql-injection

 

[Tockra]

Es wird doch wohl irgendwo eine Methode dafür geben. Mysql injections sind doch nicht soooo unbekannt...

 

[NiThDi]

Falls du an sowas wie

removeAllMySQLCallsFromString(String s);

denkst, sorry, aber glaube kaum dass es das in der Form gibt.

Schau dir einfach mal den Ansatz der PreparedStatements an, der ist nicht so sonderlich schwer zu verstehen und erfüllt seinen Zweck.

 

[Rossie]

Wenn man parametrisierte Abfragen verwendet, stellt sich das Problem kaum.

 

[Tockra]

Das steht leider nicht zur Option...

 

[NiThDi]

Wieso stehen die nicht zur Option? Das ist eigentlich DER Weg um SQL injections zu verhindern (vergiss mein RegEx Vorschlag).

 

[Tumbleweed]

http://stackoverflow.com/questions/1018292/java-equivalent-for-phps-mysql-real-escape-string

Und nebenbei über sowas gestolpert. Keine Gewähr für irgendwas.