请问怎样在网页中防止sql注入 ？

来源：百度知道 编辑：UC知道 时间：2024/09/25 07:01:21
我查找过相关的资料，知道类似与 or 1=1 这样的方法可以注入seesion。深入的就看不大明白。你们可以在这里分享一下对这方面的经验吗 ？谢谢了！

防止SQL注入的方法就是不要在程序中使用拼接的方式生成SQL语句
如:"select * from TableName where columnName='" + 变量 + "'"
这样很容易被注入，
如果 变量 = " ' or 1=1 --"
这句sql的条件将永远为真

如果采用拼接SQL要把变量中的'（单引号）替换为''（两个单引号）

首先是更改数据库的路径及名称，别用常规性的路径和名称；
第二是专门有防注入的代码，网站上一搜一大堆，你可以加到你网页文件的开头部分。
注意：有些网页的开头部分加了以后，比如论坛，很有可能新用户会无法注册的情况，所以有待于你自己验证了。

用存储过程执行SQL 语句

使用预编译会话，多的就不说了，自己体会！