sql注入總是無孔不入（ps：' or 1=1#），該如何安全的過濾好呢（我用的php和mysql_connect）?
2 回答
慕桂英3389331
TA貢獻2036條經驗 獲得超8個贊
select * from users where name = @name
參數化查詢（Parameterized Query 或 Parameterized Statement）是訪問數據庫時，在需要填入數值或數據的地方，使用參數 (Parameter) 來給值。
在使用參數化查詢的情況下，數據庫服務器不會將參數的內容視為SQL指令的一部份來處理，而是在數據庫完成SQL指令的編譯后，才套用參數運行，因此就算參數中含有指令，也不會被數據庫運行。Access、SQL Server、MySQL、SQLite等常用數據庫都支持參數化查詢。
添加回答
舉報
0/150
提交
取消