这段代码是否容易受到sql注入攻击？

Question

sql= "SELECT * FROM BOOK WHERE pubName = '" & myPubName & "'"

myPubName已经封装。

Answer 1

是。如果你正在服用＆＃34; myPubName＆＃34;变量作为用户输入而不是正确检查。

要注入SQL，需要像这样写出＆＃34; myPubName＆＃34;变量＆＃34;＆＃39; sometext＆＃39;或1 = 1＆＃34;

然后查询看起来像

SELECT * FROM BOOK WHERE pubName =＆＃39; sometext＆＃39;或1 = 1

这将基本上返回书表中的所有行。