SQL-инъекции и защита

SQL-инъекция — атака, при которой пользовательский ввод “ломает” структуру SQL-запроса и заставляет базу выполнить то, что не планировалось.

// ❌ опасно: текст пользователя вставляется прямо в запрос
String query = "SELECT * FROM users WHERE name = '" + userInput + "'";

Если userInput равен ' OR '1'='1, итоговый запрос станет:

SELECT * FROM users WHERE name = '' OR '1'='1'

'1'='1' всегда истина — запрос вернёт всех пользователей, а не нужного одного. Более опасные варианты могут удалить данные или получить доступ к чужим записям.

Защита — PreparedStatement, где данные передаются отдельно от текста запроса, не как часть строки:

PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE name = ?");
stmt.setString(1, userInput);   // безопасно — userInput не может изменить структуру запроса

Подробнее про PreparedStatement — в теме «PreparedStatement».