如何用 Java 校验 SQL 语句的合法性？

如何用 Java 校验 SQL 语句的合法性？

方案一：使用 JDBC API 中提供的 Statement 接口的 execute()方法

要在 Java 中校验 SQL 语句的合法性，可以使用 JDBC API 中提供的 Statement 接口的 execute()方法。这个方法会尝试执行给定的 SQL 语句，如果 SQL 语句不合法，则会抛出一个 SQLException 异常。因此，我们可以利用这个异常来判断 SQL 语句的合法性。

java 代码解读复制代码import java.sql.*; public class SQLValidator {     public static boolean validateSQL(String sql) {        try {            Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:06/mydatabase", "username", "password");            Statement stmt = ();            (sql);            return true;        } catch (SQLException e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         println(validateSQL(sql1)); // true        println(validateSQL(sql2)); // false        println(validateSQL(sql)); // false    }}

复制代码

在这个示例代码中，validateSQL()方法接受一个 SQL 语句作为参数，然后尝试执行这个 SQL 语句。如果执行成功，返回 true，否则返回 false。在 main()方法中，我们调用了 validateSQL()方法来校验三个 SQL 语句的合法性，并打印了结果。

需要注意的是，这个方法只能判断 SQL 语句的语法是否合法，而无法判断 SQL 语句的语义是否合法。因此，如果应用程序允许用户输入 SQL 语句，一定要进行严格的输入校验和过滤，避免 SQL 注入攻击。

方案二：使用 JSqlParser 这个 Java 库

如果你不希望实际执行 SQL 语句，而只是想校验 SQL 语句的合法性，可以使用 JSqlParser 这个 Java 库。这个库可以将 SQL 语句解析成 Java 对象，然后你可以对这些 Java 对象进行检查，以判断 SQL 语句是否合法。

以下是一个简单的示例代码：

typescript 代码解读复制代码import net.sf.jsqlparser.JSQLParserException;import net.sf.jsqlparser.parser.CCJSqlParserUtil;import net.sf.jsqlparser.statement.Statement; public class SQLValidator {     public static boolean validateSQL(String sql) {        try {            Statement stmt = CCJSqlParserUtil.parse(sql);            return true;        } catch (JSQLParserException e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         println(validateSQL(sql1)); // true        println(validateSQL(sql2)); // true        println(validateSQL(sql)); // false    }}

复制代码

在这个示例代码中，validateSQL()方法使用 JSqlParser 库将 SQL 语句解析成 Java 对象。如果解析成功，返回 true，否则返回 false。在 main()方法中，我们调用了 validateSQL()方法来校验三个 SQL 语句的合法性，并打印了结果。

需要注意的是，JSqlParser 库只能检查 SQL 语句的语法是否合法，而无法检查 SQL 语句的语义是否合法。因此，同样需要进行严格的输入校验和过滤，避免 SQL 注入攻击。

方案三：使用正则表达式检查 SQL 语句的格式是否正确

使用正则表达式检查 SQL 语句的格式是否正确。例如，可以检查 SQL 语句是否以 SELECT、UPDATE、DELETE、ISERT 等关键字开头，是否包含必需的关键字和语法元素等。

vbnet 代码解读复制代码import java.util.regex.Pattern; public class SQLValidator {    private static final String SELECT_PATTER = "^\\s*SELECT.*";    private static final String UPDATE_PATTER = "^\\s*UPDATE.*";    private static final String DELETE_PATTER = "^\\s*DELETE.*";    private static final String ISERT_PATTER = "^\\s*ISERT.*";     public static boolean validateSQL(String sql) {        if ((SELECT_PATTER, sql)) {            // 校验SELECT语句的合法性            return true;        } else if ((UPDATE_PATTER, sql)) {            // 校验UPDATE语句的合法性            return true;        } else if ((DELETE_PATTER, sql)) {            // 校验DELETE语句的合法性            return true;        } else if ((ISERT_PATTER, sql)) {            // 校验ISERT语句的合法性            return true;        } else {            // SQL语句格式不正确            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         println(validateSQL(sql1)); // true        println(validateSQL(sql2)); // true        println(validateSQL(sql)); // false    }}

复制代码

方案四：使用 ATLR 等工具生成 SQL 语法解析器，然后使用生成的解析器解析 SQL 语句，以判断 SQL 语句的合法性

ATLR 是一种流行的解析器生成器，可以根据定义的语法规则生成解析器。

以下是一个简单的示例代码：

java 代码解读复制代码import org.antlr.v4.runtime.*;import org.antlr.v4.*; public class SQLValidator {    public static boolean validateSQL(String sql) {        try {            CharStream input = CharStreams.fromString(sql);            SQLLexer lexer = new SQLLexer(input);            CommonTokenStream tokens = new CommonTokenStream(lexer);            SQLParser parser = new SQLParser(tokens);            ParseTree tree = parser.statement();            return true;        } catch (Exception e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         println(validateSQL(sql1)); // true        println(validateSQL(sql2)); // true        println(validateSQL(sql)); // false    }}

复制代码

在这个示例代码中，我们使用 ATLR 生成了一个 SQL 语法解析器，并在 validateSQL()方法中使用这个解析器来解析 SQL 语句。如果解析成功，则说明 SQL 语句格式正确，返回 true，否则返回 false。

方案五：使用 Apache Calcite 等 SQL 解析器库来解析 SQL 语句

Apache Calcite 是一个强大的 SQL 解析器和优化器，它支持大多数 SQL 语法，并能够将 SQL 语句解析为抽象语法树（AST）。

arduino 代码解读复制代码import org.sql.Sqlode;import org.sql.parser.SqlParseException;import org.sql.parser.SqlParser;import org.sql.parser.SqlParser.Config;import org.sql.parser.SqlParserImplFactory; public class SQLValidator {    public static boolean validateSQL(String sql) {        try {            Config config = ();            SqlParserImplFactory factory = config.parserFactory();            SqlParser parser = (sql, config.withParserFactory(factory));            Sqlode node = parser.parseStmt();            return true;        } catch (SqlParseException e) {            return false;        }    }     public static void main(String[] args) {        String sql1 = "SELECT * FROM mytable WHERE id = 1";        String sql2 = "SELECT * FROM mytable WHERE id = '1'";        String sql = "SELECT * FROM mytable WHERE id = ;DROP TABLE mytable;";         println(validateSQL(sql1)); // true        println(validateSQL(sql2)); // true        println(validateSQL(sql)); // false    }}

复制代码

在这个示例代码中，我们使用 Apache Calcite 库来解析 SQL 语句。validateSQL()方法首先创建一个 SqlParser 对象，并使用它来解析传入的 SQL 语句。如果解析成功，则返回 true，否则返回 false。

总结

总的来说，使用 JDBC API 和 JSqlParser 库、正则表达式、ATLR 解析器生成器或 Apache Calcite 库都可以实现校验 SQL 语句的合法性。具体使用哪种方法取决于你的需求和个人喜好。

相关内容拓展：（技术前沿）

近 10 年间，甚至连传统企业都开始大面积数字化时，我们发现开发内部工具的过程中，大量的页面、场景、组件等在不断重复，这种重复造轮子的工作，浪费工程师的大量时间。

针对这类问题，低代码把某些重复出现的场景、流程，具象化成一个个组件、api、数据库接口，避免了重复造轮子。极大的提高了程序员的生产效率。

介绍一款程序员都应该知道的软件 JPF 快速开发平台，基于 Java/.et 双技术引擎，专注于低代码，采用业内领先的 SpringBoot 微服务架构、支持 SpringCloud 模式，完善了平台的扩增基础，满足了系统快速开发、灵活拓展、无缝集成和高性能应用等综合能力；采用前后端分离模式，前端和后端的开发人员可分工合作负责不同板块，省事又便捷。