sql - 带参数的sql注入

Question

以下是否暴露了 Sql Injection 攻击向量？如果确实如此，我该如何预防？

@bookId = '1234;' + 'Drop table Books;'
Select * from Books where bookId = @bookId

它不会像这样执行吗？：

Select * from Books where bookId = 1234; Drop table Books;

score 5 · Accepted Answer

不，它不会。这不是参数化的工作方式。参数化不是字符串连接。

此代码将尝试查找 id 为的书1234;Drop table Books;。如果bookId是integer.

你是安全的。

score 1 · Accepted Answer

1

于 2013-04-15T21:32:40.897 回答

2 回答 2