瀏覽器從請求參數中移除+

Question

我試圖從Java Applet傳遞SQL查詢字符串爲Servlet作爲參數。

問題是，在小程序我有一些說：SQL = SELECT * FROM p其中（+ P = 1）

在Servlet生成的SQL參數是SQL = SELECT * FROM p其中（+ P = 1）。

因此，任何人都知道如何防止瀏覽器從參數中刪除+字符？

是否有轉義字符？

謝謝。

Answer 1

不要這樣做。這是SQL注入的直接方式（例如，任何用戶都可以將DELETE請求插入get字符串並使服務器崩潰）

Answer 2

您可以使用java.net.URLEncoder來實現此目的。

param = URLEncoder.encode(param, "UTF-8"); 

---

這就是說，整個思路是漏水的，很容易攻擊。人們可以很容易地發現URL並手動發送一個DELETE FROM p給它。而是發送命令作爲參數，而不是完整的SQL查詢。保留並隱藏服務器端的SQL查詢。