Como Bloquear Sql Injection

[Guest Davis]

Em asp eu sei que usamos o REPLACE e em java o que eu uso?

[iSoron]

Mais simples ainda: use PreparedStatements.

[]'s

[Thiago Silveira]

Olá iSoron,

Dei algumas lidas na página que voce indicou, mas realmente não consegui entender como usar.

Devo utilizar o PreparedStatement na página que verifica as informação vindas do formulário de login?

Como devo preparar essas informações abaixo, para a tabela em que ficam as informações de login?

PreparedStatement pstmt = con.prepareStatement("UPDATE EMPLOYEES SET SALARY = ? WHERE ID = ?");

pstmt.setBigDecimal(1, 153833.00)

pstmt.setInt(2, 110592)

Obrigado,

Thiago

[iSoron]

É assim mesmo que funciona. Caso os valores não sejam válidos (no caso de sql injection), o PreparedStatement nem fica pronto para ser executado, e você vai ter que tratar as exceções.

Só uma dúvida: você está fazendo pesquisas/atualizações no BD direto da página jsp?

Se sim, seria interessante você estudar a arquitetura MVC e alguns outros padrões de software.

[Thiago Silveira]

iSoron,

Valeu!!!

Consegui usar, e funcionou 100%.

Obrigado, pela dica!!