使用单个trim函数解决sql注入问题吗？

Question

由于trim函数删除了空格，它是否解决了sql注入的问题？如果没有，请有人发布一个例子。

Answer 1

不，添加修剪不会阻止sql注入。 trim仅删除字符串外部的空格。

Select * from aTable where name like '%'+@SearchString+'%'

如果@SearchString持有类似

的内容

'' update aTable set someColumn='JackedUpValue' where someColumn like '

然后当你把它们全部放在一起并动态执行它时你会得到

Select * from aTable where name like '%' update aTable set someColumn='JackedUpValue' where someColumn like '%'

你可以修剪@SearchString 100次，而不是改变它的值。

Answer 2

为了避免Sql Injection，请使用以下内容：

1. 准备陈述
2. 存储过程

您的申请将非常安全。

进一步详细和专家分析搜索谷歌。 这是一个开始Sql Injection Prevention

的链接