Question

我编写了一个程序，用户输入的用户名和密码存储在数据库中。但是，第一个ResultSet查询检查用户输入是否已在数据库中可用，然后在'if'语句中运行代码块并且不添加用户名输入。否则它确实如此。但是在这个程序中，只要用户输入数据，即使用户输入与数据库中的用户名查询匹配，也会将其插入到浏览器中

形式：

<body>
    <form name="loginForm" method="post" action="log.jsp">
        Username:<input type="text" name="user" />
        <br/>
        PassWord:<input type="password" name="pass">
        <br/>
        <input type="submit" value="Sign Up!">
    </form>

</body>

log.jsp：

<%@ page import= "java.sql.*" %>


    <%
        String s1=request.getParameter("user");
        String s2=request.getParameter("pass");

        Connection con=null;
        Statement st=null;
        ResultSet rs=null;

        try{

            Class.forName("oracle.jdbc.driver.OracleDriver");
            con=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:xe","system","pass");

            if (s1.equals("") || s2.equals("")){
                out.println("<script>alert('Please Enter valid credentials');</script>");

            }
            else{
                st=con.createStatement();
                rs=st.executeQuery("select users from NewUsers");
                while(rs.next()){
                    String s3=rs.getString("users");
                    if(s1.equals(s3)){
                        out.println("Username already exists");
                    }
                    else{
                        try{
                           st.executeUpdate("insert into NewUsers(users,pass) values('"+s1+"','"+s2+"')");
                        }
                        catch(SQLException sql){}
                        finally{
                            out.println("Signed Up , Go here for login:<a href='login.jsp'>Here</a> ");  
                        }

                    }
                }
            }

        }
        catch(ClassNotFoundException cnfe){}
        finally{
            if(st!=null)try{st.close();}catch(SQLException ignore){}
            if(rs!=null)try{rs.close();}catch(SQLException ignore){}
            if(con!=null)try{con.close();}catch(SQLException ignore){}
        }

        %>

我不明白为什么即使没有输入任何内容，else语句也没有执行？输入中是否有一些默认值？

编辑：想出来了：

ps=con.prepareStatement("select users from NewUsers u where u.users=?");
ps.setString(1,s1);
rs=ps.executeQuery();
if(rs.next()){
out.println("<script>alert('User already exists')</script>");
 }else{//dbUpdate}

Answer 1

你的逻辑是完全有缺陷的。要检查数据库中是否存在输入用户，请执行从数据库加载所有用户的查询。然后，您遍历所有用户，对于每个用户，如果它与输入的用户不同，则插入新用户。

这没有用。

使用SQL查询检查数据库中是否存在输入的用户。由于您的下一个错误将是使用字符串连接来创建该SQL查询，避免犯这个错误并学习使用包含参数的prepared statements：

select users from NewUsers u where u.users = ?

PS：实际上，你已经已经做错了，使你的代码对SQL注入攻击变得有害，并且只要用户名或密码中有单引号就不能正常工作

为什么JSP没有运行这个'if（s1.equals（s3））'语句，即使条件为真呢？

1 个答案: