關(guān)于第4個(gè)例子中SQL注入的問(wèn)題
老師在講第4個(gè)例子的時(shí)候說(shuō)在輸入日期參數(shù)的時(shí)候使用占位符來(lái)防止sql注入，但是在使用'inSql()'方法的時(shí)候使用的是一個(gè)字符串拼接，例子中的‘王姓’在實(shí)際場(chǎng)景中應(yīng)該也是前端傳過(guò)來(lái)的參數(shù)吧，這個(gè)情況我們?cè)撛趺磥?lái)防止SQL注入呢？
幕布斯3077646
2020-08-07
2 回答
舉報(bào)
0/150
提交
取消
2020-08-09
1、insql這種使用sql注入風(fēng)險(xiǎn)，但是你可以自己防止sql注入，例如保證拼接進(jìn)來(lái)的參數(shù)，是后端邏輯計(jì)算出來(lái)的，并且不存在風(fēng)險(xiǎn)的，不是前端傳的，如果是前端傳的，不建議用這種方式拼接。
2、“王姓”的那個(gè)我應(yīng)該用的是likeRight吧，這個(gè)不存在注入風(fēng)險(xiǎn)，你看看打印出來(lái)的sql語(yǔ)句就明白了。
2020-08-10
明白了，謝謝老師講解