以及防止sql注入的方法_PHP基础

当前位置：网站建设 > 技术支持

资料来源：网络整理时间：2023/3/5 15:10:25 共计：3592 浏览

以及防止sql注入的方法？

#{ } 解析为一个 JDBC 预编译语句（prepared statement）的参数标记符。

例如，sqlMap 中如下的 sql 语句

select * from user where name = #{name};

解析为：

select * from user where name = ?;

一个 #{ } 被解析为一个参数占位符 ? 。

${ } 仅仅为一个纯碎的 string 替换，在动态 SQL 解析阶段将会进行变量替换

例如，sqlMap 中如下的 sql

select * from user where name = '${name}';

当我们传递的参数为 "ruhua" 时，上述 sql 的解析为：

select * from user where name = "ruhua";

预编译之前的 SQL 语句已经不包含变量 name 了。

综上所得， ${ } 的变量的替换阶段是在动态 SQL 解析阶段，而 #{ }的变量的替换是在 DBMS 中。

注意：${ } 在预编译之前已经被变量替换了，这会存在 sql 注入问题。

版权说明：
本网站凡注明“广州京杭原创”的皆为本站原创文章，如需转载请注明出处！
本网转载皆注明出处，遵循行业规范，如发现作品内容版权或其它问题的，请与我们联系处理！
欢迎扫描右侧微信二维码与我们联系。