如果查询框里输入了>1个的查询关键字，传递到存储过程，那么sql语句如何写？

2009-04-07 08:07:22 176 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

SQL注入原理与防御：从联合查询到参数化编程实战 SQL注入作为Web安全领域的经典漏洞，其核心原理在于用户输入被误执行为数据库查询代码。攻击者通过构造特殊输入，利用数据库查询语句的拼接缺陷，能够绕过应用层验证，直接操作数据库。这种技术不仅威胁数据机密性，更可能引发数据篡改、服务中断等严重后果。在渗透测试与CTF竞赛中，联合查询（Union Query）是手工注入的关键技术，用于信息窃取。防御层面，参数化查询（预编译语句）是根治此漏洞的工程化实践，它能将代码与数据分离，从根源上杜绝拼接风险。配合输入验证、最小权限原则等深度防御策略，可构建稳固的数据库访问安阅读详情

比如输入的是“北京□□□上海”(□代表空格，可>=1），
那就查询....where Column like '%北京%' OR '%上海%'

...全文

es查询语法在Kibana中的图解说明与操作演示在Kibana里写好ES查询语法，不是靠猜，而是看懂字段结构、掌握query DSL逻辑。这篇用截图+标注讲清match、term、bool等常用ES查询语法如何组合生效，手把手带你构造精准检索条件，避开常见语法坑。阅读详情

adultsite

.NET社区 62,272 成员 668,968 内容

+ 关注 + 加入社区

切换为时间正序

lcd0413 2010-08-17

打赏
举报

declare @str varchar(500)
declare @result varchar(500)

set @str='中心'
set @result=''

while (len(@str)>0)
begin
if(charindex(' ',@str)>0)
begin
set @result=@result+' % '+substring(@str,0,charindex(' ',@str))+' % or '
set @str=LTrim(substring(@str,charindex(' ',@str),len(@str)))
end
else
begin
set @result=' '+@result+' %'+@str+' %'
break
end
end
print @result

这个单引号没了，怎么弄？

scx0237 2010-05-07

打赏
举报

传入个 @str='北京'，‘上海’，‘南京’

@sql='select * from tableName where prov in ('+@str+')'

拙见，希望能帮助你。

Steve 2009-04-07

打赏
举报

1.把多个空格替换成1个空格.
2.按空格分割字符串得到查询字索引数组.
3.用查询字索引数组构造SQL的正则表达式.

adultsite 2009-04-07

打赏
举报

[Quote=引用 1 楼 liuyeede 的回复:]
用StringBiulder构建查询字符串。

[/Quote]

我是直接传递到存储过程里了。在存储过程里怎样把这些词分出来，然后根据条件构造sql语句？

sql查询语句就用了。我只想知道怎样在sql server存储过程里把“北京上海广东"这样的词给分出来。

新时代新目标新征程 2009-04-07

打赏
举报

没看懂，帮顶吧

liuyeede 2009-04-07

打赏
举报

用StringBiulder构建查询字符串。

阿非 2009-04-07

打赏
举报



declare @str varchar(500)

declare @result varchar(500)



set @str='北京    上海 天津  重庆'

set @result=''



while (len(@str)>0)

begin

      if(charindex(' ',@str)>0)

      begin

           set @result=@result+' % '+substring(@str,0,charindex(' ',@str))+' % or '

           set @str=ltrin(substring(@str,charindex(' ',@str),len(@str)))

      end 

      else

       begin

           set @result=' '+@result+' %'+@str+' %'

           break

       end

end



print @result

机器没装SQL ,你自己试一下吧

wuyq11 2009-04-07

打赏
举报

通过List<string>构建查询字符串

teerhu 2009-04-07

打赏
举报

关注

adultsite 2009-04-07

打赏
举报

[Quote=引用 4 楼 runffer_yang 的回复:]
1.把多个空格替换成1个空格.
2.按空格分割字符串得到查询字索引数组.
3.用查询字索引数组构造SQL的正则表达式.
[/Quote]
能否提供关键代码断？

如果查询框里输入了>1个的查询关键字，传递到存储过程，那么sql语句如何写？

相关推荐