sql - 为了防止 SQL 注入的威胁，我已经阻止了字符串“--”和“;” 但我仍然不确定它是否安全..？

Question

我的应用程序中有一个文本框，用户将在其中输入 where 子句来搜索线索。此条件将连接到我AND在 SQL Server 2008 存储过程中使用逻辑运算符的原始搜索查询。

是否可以在这种情况下编写DELETE或DROP子查询？

Answer 1

你正在打一场失败的战斗。

不要试图通过将输入内容列入黑名单或白名单来防止 SQL 注入。相反，使用参数化查询。那么输入什么都没有关系。