不考慮存盤程序內部(內部都是表的引數,沒有sql拼接)
拼接存盤程序的時候會不會產生sql注入?
uj5u.com熱心網友回復:
你舉個實際例子吧, 這樣太模糊了。存盤程序傳入時用了引數, 但內部如果你還是拼接sql的話, 一樣也會有sql注入。
uj5u.com熱心網友回復:
存盤程序為什么還要拼接?uj5u.com熱心網友回復:
mysql 的c介面只有一個字串引數, 如果我自己做引數化比較麻煩,我想法是 資料庫都用存盤程序,但是c介面的呼叫 需要拼接存盤程序,
比如客戶提交一個name 的string ,我需要拼接個 call proc('name') 這個存盤程序,
目前只發現單引號 會引起錯誤,不曉得有沒有其他的隱患
轉載請註明出處,本文鏈接:https://www.uj5u.com/shujuku/155019.html
標籤:疑難問題
上一篇:SQL資料庫數量多,經常出現個別資料庫處于恢復狀態?
下一篇:求助大佬
