动态SQL字符串不适用于双引号

时间:2018-05-09 05:21:41

标签: javascript sql database sql-injection

我使用js创建了一个动态SQL字符串,它仅在过去几天查看记录。

var dateSearch = new Date();
dateSearch.setDate(dateSearch.getDate() - 3);
var dateSearchInput = dateSearch.toISOString();

...q=SELECT * FROM \"daily log\" WHERE date >= threeMonthInput"];

下面的SQL查询使用dateSearch的结果,但不能像上面那样使用它作为变量,例如:

...q=SELECT * FROM \"daily log\" WHERE date >= \'2018-05-06T05:17:47.270Z\'"];

我尝试在变量的每一侧添加\',仍然没有。

将此作为变量工作的任何见解。感谢。

1 个答案:

答案 0 :(得分:0)

我试图在URL中添加一个变量作为字符串。我需要搜索字符串,添加变量并完成字符串。

解决方案是:

...q=SELECT * FROM \"daily log\" WHERE date >= '" + threeMonthInput + "\'"];