sqlite3操作数据库的时候cur.execute('insert into t values (%d)'% num) 会被sql注入,但把占位符该成?就不会了.那问题来了,这个?到底做了什么才防止了sql注入呢?
sqlite3操作数据库的时候cur.execute('insert into t values (%d)'% num) 会被sql注入,但把占位符该成?就不会了.那问题来了,这个?到底做了什么才防止了sql注入呢?
1 回答9.7k 阅读✓ 已解决
2 回答5.4k 阅读✓ 已解决
2 回答3.7k 阅读✓ 已解决
3 回答4.5k 阅读
3 回答1.5k 阅读✓ 已解决
4 回答1.5k 阅读✓ 已解决
4 回答1.7k 阅读✓ 已解决
?会把参数当做值来处理,不管参数是什么,都把它插入表就完事。
而直接的字符串拼接是把参数当做SQL语句的一部分,参数中有SQL语句的话,是有可能被执行的