是否有SQL注入

[微笑浅浅]

页面上用户输入邮箱，通过js验证：var pattern = /^([a-zA-Z0-9_-])+@([a-zA-Z0-9_-])+(\.[a-zA-Z0-9_-])+/;
然后把通过验证的邮箱插入数据库，请问这样会发生sql注入么？
我看了一下这个邮箱验证匹配的模式中不可能出现那些注入的特殊字符，但是是否有二进制什么的？
请大侠指点迷津。

[ituuz]

[Quote=引用 23 楼 bao110908 的回复:]

引用 18 楼 iss0131 的回复:
嘿嘿，我指的是那个email字段，schema字段是不变的


如果 schema 字段的值是由用户产生的，那么就存在 SQL 注入的风险。否则的话你这个 SQL 不会有注入风险。
[/Quote]
楼上好眼熟

[DBMS_TTT]

XUEXI

[kebin0001]

SQL注入與檢驗無關，關鍵在於你是不是用字串相加的方式組成SQL。

[微笑浅浅]

String sql = "insert into "+schema+".test(name,age,email,date)"+" values(?,?,?,CURRENT TIMESTAMP)";

这是我的sql语句。
其中的第三个字段是从页面获取的。

[kai27ks]

2楼说的有道理。关键就在于你的SQL是否是使用 String +String 的方式。 建议使用占位符"select * from xxx where name =?"和PreparStament.setString(1,"小明")这样的方法可以避免。

[soli11722984]

我浏览器关闭JS，你JS乍做验证？

[Coolfatman]

[Quote=引用 2 楼 iss0131 的回复:]

String sql = "insert into "+schema+".test(name,age,email,date)"+" values(?,?,?,CURRENT TIMESTAMP)";

这是我的sql语句。
其中的第三个字段是从页面获取的。
[/Quote]
这种采用sql预编译的是不会有sql注入问题的。

[ise_Keven1]

可以参考下这篇文章：http://www.5kuaile.net/what-is-sql-injection-how-to-prevent-sql-injection/

[ise_Keven1]

可以参考下这篇文章：如何防止sql 注入

[hepeng_8]

裂解制

[d19901217]

后台再过滤啊

[火龙果被占用了]

[Quote=引用 2 楼 iss0131 的回复:]

String sql = "insert into "+schema+".test(name,age,email,date)"+" values(?,?,?,CURRENT TIMESTAMP)";

这是我的sql语句。
其中的第三个字段是从页面获取的。
[/Quote]

这些数据插入哪张表也是变化的？

[酒剑仙]

关键看你schema 这个字段从哪里传入

[qingyuan18]

网页安全性？Sql注入是个问题

[树成]

在服务器端验证一下即可，或者替换掉sql关键字或者单引号之类的特殊符号。

[woshijulinhou]

sql预编译是不会有sql注入问题存在的，你多虑了

[ChDw]

你那个只是前端验证，你服务器并没有再验证的话，就存在问题。

[feeses]

使用参数化就不会发生注入问题，不该判断字符串来处理。

[xf_taoran]

[Quote=引用 1 楼 kebin0001 的回复:]
SQL注入與檢驗無關，關鍵在於你是不是用字串相加的方式組成SQL。
[/Quote]
+

[微笑浅浅]

[Quote=引用 10 楼 bao110908 的回复:]
引用 2 楼 iss0131 的回复:

String sql = "insert into "+schema+".test(name,age,email,date)"+" values(?,?,?,CURRENT TIMESTAMP)";

这是我的sql语句。
其中的第三个字段是从页面获取的。


这些数据插入哪张表也是变化的？
[/Quote]
嘿嘿，我指的是那个email字段，schema字段是不变的