sql查询防注入需要过滤哪些字符？

[KPBer]

select * from [test] where aaa='变量'

比如这种格式的sql语句，我想了半天这个变量在传入的时候似乎是只需要过滤单引号就好了？好像不需要过滤分号那些的吧？

[KPBer]

引用 2 楼 dengdengwang 的回复:

就你发的说 就转义引号就成

是不是只要是查询字符串，都只过滤引号就好了？ 语句是套的话双引号就把双引号全替换成两个双引号；语句是套的话单引号就把单引号全替换成单个双引号，就OK了，其他字符没注入的可能了是吧？

[t101lian]

aaa中一定不会有单引号吗？

[飞行石]

用参数是最好的。 select * from where aaa=@value

[中国风]

SQL注入专题--整理帖 http://bbs.csdn.net/topics/290032853

[dengdengwang]

就你发的说 就转义引号就成

[薛定谔的DBA]

可以只过滤单引号