如何逃脱SQL注入？

Question

当我使用sql进行查询时，我遇到了一个问题。如下：

sql = "select * from chat where keywords like %key%";

当我用％param执行这个sql时，这将查询该表的所有结果。那我怎么解决这个问题呢？

Answer 1

SELECT * FROM Customers
WHERE Country LIKE '%land%';   

你错过了＆＃39; ＆＃39;符号