关于防SQL,xss攻击,过滤字符, 写了一个过滤器,但别人说是最土的办法,请教各位高端解决方案

[嘛米嘛米轰]

RT,多多交流,博闻广见

[zy_think123]

土就土，能解决问题就行

[中华雪碧]

sql注入，不要用字符串拼接sql的方式

[markcxz]

参数化SQL语句即可，参考 http://database.51cto.com/art/201009/224530_all.htm

[markcxz]

java下使用PreparedStatement即可 http://blog.csdn.net/kingskyleader/article/details/4800397

[嘛米嘛米轰]

说的这些回答, 项目中已经用了, 但还需要一个过滤器 来过滤,URL ,但 又不能配置在 web.xml中, 不然做修改,需要重启系统,代价太大, 目前方案是需要过滤的特殊字符写在 数据库中,配置, 但 又因为 频繁访问数据库 影响性能