SQL参数化查询

SQL参数化查询 1、以往的防护方式 之前对付这种漏洞的方式主要有三种： 字符串检测：限定内容只能由英文、数字等常规字符，若是检查到用户输入有特殊字符，直接拒绝。但缺点是，系统 中不可避免地会有些内容包含特殊字符，这时候总不能拒绝入库。 字符串替换：把危险字符替换成其余字符，缺点是危险字符可能有不少，一一枚举替换至关麻烦，也可能有漏网之 鱼。 存储过程：把参数传到存储过程进行处理，但并非全部数据库

>>阅读原文<<