sqlite3操作数据库的时候cur.execute('insert into t values (%d)'% num) 会被sql注入,但把占位符该成?就不会了.那问题来了,这个?到底做了什么才防止了sql注入呢?
sqlite3操作数据库的时候cur.execute('insert into t values (%d)'% num) 会被sql注入,但把占位符该成?就不会了.那问题来了,这个?到底做了什么才防止了sql注入呢?
4 回答4.4k 阅读✓ 已解决
1 回答3.2k 阅读✓ 已解决
4 回答3.8k 阅读✓ 已解决
3 回答2.2k 阅读✓ 已解决
1 回答4.4k 阅读✓ 已解决
1 回答3.9k 阅读✓ 已解决
1 回答2.8k 阅读✓ 已解决
?会把参数当做值来处理,不管参数是什么,都把它插入表就完事。
而直接的字符串拼接是把参数当做SQL语句的一部分,参数中有SQL语句的话,是有可能被执行的