sql 如果是字符串只过滤单引号就够了吗？

redsunsry 2006-10-26 03:04:04

？？

...全文

159 5 打赏收藏举报

写回复

5 条回复

切换为时间正序

请发表友善的回复…

发表回复

dotnba 2006-10-26

打赏
举报

使用参数方式组成命令，则不用替换任何字符。

那种空谈“非法字符”，没什么好坏标准，可能永远也不够，可能完全多余，如果不知道你到底要防范什么注入，则很难说够不够。
------------------------------------
不错

以专业开发人员为伍 2006-10-26

打赏
举报

例如上传的文本中不能有html --> 例如上传网页内容的文本中不能有html

以专业开发人员为伍 2006-10-26

打赏
举报

防SQL注入其它SQL命令（而不是字符值），假设你的SQL中的字符值用但引号作为首尾标志，仅仅替换单引号足够了。使用参数方式组成命令，则不用替换任何字符。

如果你担心有其它的注入，要根据具体的注入目的来防范。例如上传的文本中不能有html标签和javascript命令，等等。

那种空谈“非法字符”，没什么好坏标准，可能永远也不够，可能完全多余，如果不知道你到底要防范什么注入，则很难说够不够。

Eddie005 2006-10-26

打赏
举报

够了

myhuser 2006-10-26

打赏
举报

http://www.jdskycn.com/blog/article.asp?id=85

相关推荐

# Python 47个字符串方法

## 课程介绍

同学们是否总是要搜资料、查官网后，才知道怎么操作字符串？

如果是，来学学本课程吧，本课程以讲解官网文档的方式，讲解 Python 47个字符串方法，涉及替换、删除、连接、查找、分割、格式化、编码、转换等字符串操作，带同学们系统学习 Python 字符串方法。