PreparedStatement e sql injector

[Tommy86r]

Salve ragazzi, sto facendo un piccolo progetto in java all'università (pemetto che mi sono avvicinato da poco a questo linguaggio).
il mio problema è che dovrei fare un "minimo" controllo sugli input per cercare di evitare l'sql injector, leggendo in rete ho capito che dovrei utilizzare i PreparedStatement

query="select * from persona where nome like ? ";
st=con.prepareStatement(query,ResultSet.TYPE_SCROLL_INSENSITIVE,ResultSet.CONCUR_READ_ONLY);
st.setString(1,"%"+nome+"%");
rs = st.executeQuery();

con questo approccio dovrei risolvere il problema giusto? (anche se non ho ben capito il perchè )

Un'altra cosa, siccome questo codice dovrei inserirlo in un metodo ActionPerformed di un pulsante, mi dà errore in quanto non riconosce PreparedStatement... come posso risolvere?


GRAZIE

[Tommy86r]

Siccome per la seconda sono riuscito più o meno a metterci una pezza.

Qualcuno sarebbe così gentile da spiegarmi semplicemente perchè usando i prepared statement si è immuni da sql injection, rispetto agli statement, non ho capito il senso tecnico che c è dietro.

GRAZIE

[loHacker]

Usando i prepared statement le query vengono generate internamente, quando gli passi i parametri con i vari set... si riesce a distinguere i parametri che inserisci per la query dai comandi sql che scrivi quando crei l'oggetto prepared statement.

In questo modo i parametri della query possono essere ripuliti da tutto ciò che altererebbe il risultato della query(le injection appunto).

[snakeplinsky]

caso dello statement ho una Stringa con la query nel tuo esempio devo poi concatenare la variabile da eguagliare.
Esempio ho un form dove scrivo il nome che viene poi appeso alla query , se io nel nome scrivo il nome ed altre istruzioni sql lui le eseguirà esempio nome="pippo' and cognome like 'pluto" queste sono le sql injection e così non le puoi evitare.

query="select * from persona where nome like '" + nome + "'";

Con i PreparedStatement visto che fai tu i setString setInt e lui che si preoccupa di mettere o non mettere gli apici quindi eviti le injection.