在实现防止SQL注入问题的时候，SQL语句的预加载没有实现

Question

在实现阻止sql注入的问题的时候，sql语句的预加载没有实现。
我再SQL语句中注入了‘or 1=1’，然后这个密码其实是正确的，它不应该是实现了预加载，然后串进去的是一串字符串，其中的or不是应该不生效吗？这是哪方面的问题？

Answer 1

引用 皆我百晓生 小程序回复内容作答：
这个问题可能是由于没有正确实现SQL语句的预加载导致的。SQL语句的预加载是指在将用户输入的数据拼接到SQL语句之前，先对数据进行处理和转义，确保不会导致SQL注入。

在你的例子中，如果没有正确实现SQL语句的预加载，'or 1=1' 这个字符串会被当作有效的SQL代码，进而执行。正确的预加载应该是将字符串 'or 1=1' 作为一个普通的字符串拼接到SQL语句中，而不是作为有效的SQL代码。

要解决这个问题，你可以使用参数化查询或者使用预编译的SQL语句来实现SQL语句的预加载。这样可以确保用户输入的数据被正确转义，防止注入攻击。具体的实现方法取决于你所使用的编程语言和数据库。

在使用参数化查询的情况下，你可以将用户输入的数据作为参数传递给SQL语句，而不是将其直接拼接到SQL语句中。这样数据库会将参数作为普通的数据而不是SQL代码进行处理，从而避免了注入攻击。

在使用预编译的SQL语句的情况下，你可以在执行SQL之前先将其编译成一个预编译的SQL语句，然后再将用户输入的数据作为参数传递给预编译的SQL语句。预编译的SQL语句会将参数作为普通的数据而不是SQL代码进行处理，同样可以防止注入攻击。

总之，确保正确实现SQL语句的预加载是防止SQL注入攻击的重要步骤之一，你可以根据具体的开发语言和数据库来选择合适的方法来实现预加载。