准备好的语句和SQL注入
String query = "INSERT INTO offers (name,email.text) VALUES
'"+name+"','"+email+ "','"+text+"'";
假设上面的代码是我的查询。什么是一个安全的替代方案，将允许自动增加在mySQL数据库。
共有1个答案
准备好的语句查询如下所示：
String sql = "insert into offers (name, email, text) values(?, ?, ?);
创建一个PreparedStatement。然后设置基于1的索引值并执行查询。对SQL注入100%安全！
对于Spring，您可能会使用JDBCTemplate。注意有一个NamedParameterJdbcTemplate实现不使用索引，而是使用命名参数。查询将为：
String sql = "insert into offers (name, email, text) values(:name, :email, :text);
-
问题内容： 我有一个使用准备好的语句的Doctrine_RawSql查询。但是，当生成SQL查询时，它们似乎会被忽略。但是，如果我忽略了标记值，则会得到关于不匹配的绑定变量数量的异常（因此，至少是试图将它们包含在内）。 如果我内联包含这些值，Doctrine是否在幕后做任何事情以防止SQL注入？ 这是我的代码： 这提供了以下SQL输出： 编辑：上的属性已正确设置。如果我对参数进行硬编码： 我遇到了
-
问题内容： 准备好的语句如何帮助我们防止SQL注入攻击？ 维基百科说： 准备好的语句可以抵御SQL注入，因为稍后需要使用其他协议传输的参数值不需要正确地转义。如果原始语句模板不是从外部输入派生的，则不会发生SQL注入。 我不太清楚原因。用简单的英语和一些例子，简单的解释是什么？ 问题答案： 这个想法很简单-查询和数据被发送到数据库服务器 分开 。 就这样。 SQL注入问题的根源在于 代码和数据 的
-
问题内容： 停止使用不推荐使用的mysql_ *函数后，我切换到mysqli。但是后来，我注意到未准备好的语句对于SQL注入是不安全的。然后，我再次更改了代码。 我所拥有的是以下函数，该函数检查数据库中是否存在变量 $ ID 并打印该行的 title 值： 我将其更改为： 我的问题是：这是执行准备好的语句的正确方法吗？另外，我现在可以安全使用SQL注入吗？非常感谢任何愿意回答这个问题的人:) 问题
-
问题内容： 假设我有这样的代码： PDO文档说： 准备好的语句的参数不需要用引号引起来。司机为您处理。 那真的是我避免SQL注入所需要做的一切吗？ 真的那么容易吗？ 您可以假设MySQL会有所作为。另外，我真的只是对针对SQL注入使用准备好的语句感到好奇。在这种情况下，我不在乎XSS或其他可能的漏洞。 问题答案： 简短的回答是“ 否” ，PDO准备将不会为您防御所有可能的SQL注入攻击。对于某些晦