避免 SQL 注入

Question

如果我确保在查询中只使用字母数字字符，我应该不会受到任何 SQL 注入，对吗？

Answer 1

SQL 注入预防 CheatSheet

要点：

• 防御选项 1：准备好的语句（参数化查询）
  • ...首先应该教会所有开发人员如何编写数据库查询。
• 防御选项 2：存储过程
  • ...安全实施时。
• 防御选项 3：转义所有用户提供的输入
  • ...与使用参数化查询相比，脆弱。

Answer 2

仅使用字母数字字符编写有用的查询非常困难。使用参数化查询，不要寻找非快捷方式。

Answer 3

从技术上讲，这可能是正确的，因为它会阻止使用 - 或类似的技巧。然而，如今大多数平台都有更强大的方法来正确转义输入并防止其以意想不到的方式影响数据库。