Что такое SQL-инъекция

SQL-инъекция — это уязвимость, возникающая при некорректной обработке пользовательского ввода, который затем используется в SQL-запросах. Злоумышленник может внедрить вредоносный SQL-код, что приведёт к выполнению произвольных запросов к БД (например, кража данных, удаление таблиц).

Пример уязвимого кода:

String userInput = request.getParameter("username");
String query = "SELECT * FROM users WHERE username = '" + userInput + "'";
// Если userInput = ' OR '1'='1, запрос вернёт всех пользователей

Как защититься:

1. Prepared Statements (лучший способ):

String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, userInput); // Экранирование автоматическое

2. Валидация ввода, ORM (Hibernate), ограничение прав доступа БД.