SQL 삽입

취약한 코드 (java)

// 취약한 코드 - 문자열 연결로 쿼리 구성
String query = "SELECT * FROM users WHERE id = '" + userId + "'";
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(query);
// userId = "' OR '1'='1" 입력 시 전체 데이터 노출

안전한 코드 (java)

// 안전한 코드 - PreparedStatement 사용
String query = "SELECT * FROM users WHERE id = ?";
PreparedStatement pstmt = conn.prepareStatement(query);
pstmt.setString(1, userId);
ResultSet rs = pstmt.executeQuery();