2 zity chow zity_chow 于 2015.07.13 11:19 提问

springMVC JdbcTemplate 问题

项目用springMVC的JdbcTemplate查询数据库,网页上有些输入框可以让用户直接输入数据表字段和参数的,请问这样有没有SQL注入的危险?
例如:用户在网页上的输入框内填入“a=1 or b=1”,后端获取到这个值就直接拼接在SQL语句中,变成“select * from A where” + “a=1 or b=1”,然后利用JdbcTemplate查询数据库。

4个回答

diaoliwei2
diaoliwei2   Rxr 2015.07.13 12:23

sql拼接时为什么用 + 呢,用参数化赋值啊

zity_chow
zity_chow   2015.07.14 10:53

参数化赋值是什么意思?

CSDNXIAON
CSDNXIAON   2015.07.16 15:25

springMVC中文乱码问题
SpringMVC 解决中文乱码的问题
springMVC乱码问题
----------------------同志你好,我是CSDN问答机器人小N,奉组织之命为你提供参考答案,编程尚未成功,同志仍需努力!

strutce
strutce   Ds   Rxr 2015.07.20 21:07

String str =获取传过来的字符串
“select * from A where” + str

Csdn user default icon
上传中...
上传图片
插入图片