为什么sqlite3里用"?"作占位符就能防止sql注入?

新手上路,请多包涵

sqlite3操作数据库的时候cur.execute('insert into t values (%d)'% num) 会被sql注入,但把占位符该成?就不会了.那问题来了,这个?到底做了什么才防止了sql注入呢?

阅读 7.8k
1 个回答

?会把参数当做值来处理,不管参数是什么,都把它插入表就完事。
而直接的字符串拼接是把参数当做SQL语句的一部分,参数中有SQL语句的话,是有可能被执行的

撰写回答
你尚未登录,登录后可以
  • 和开发者交流问题的细节
  • 关注并接收问题和回答的更新提醒
  • 参与内容的编辑和改进,让解决方法与时俱进
推荐问题
宣传栏