對 于 JDBC而言， SQL注入 攻 擊 只 對 Statement有效， 對 PreparedStatement 是無效的， 這 是因 為 PreparedStatement 不允 許 在不同的插入 時間 改 變查詢 的 邏輯結 構。 ?
如 驗證 用 戶 是否存在的 SQL語 句 為 ： ?
select count(*) from usertable where name='用 戶 名 ' and pswd='密 碼 '
如果在 用 戶 名字段 中 輸 入 ' or '1'='1' or '1'='1
或是在 密 碼 字段 中 輸 入 1' or '1'='1
將 繞過驗證 ，但 這種 手段只 對 只 對 Statement有效， 對 PreparedStatement 無效。 ?
PreparedStatement 相 對 Statement有以下 優 點： ?
1.防注入攻擊 ?
2.多次運行速度快 ?
3.防止數據庫緩沖區溢出 ?
4.代 碼 的可讀性可維護性好

這里不會產生SQL注入，這里的where 1=1永遠成立，而你擔心的SQL注入問題是where后面緊跟傳入的參數或語句，而這里并沒有授予傳參的權利而是直接寫死1=1。

不會的