相关疑难解决方法(0)

什么是用于动态 sql 生成的安全引用标识符的 SQL Server 方法。

• MySQL有 quote_identifier
• PostgreSQL 有 quote_ident

我如何确保为动态生成的语句提供动态生成的列名，该列本身不是 SQL 注入攻击。

假设我有一个 SQL 语句，

SELECT [$col] FROM table;

本质上与

'SELECT [' + $col + '] FROM table;'

什么可以阻止注入攻击

$col = "name] FROM sys.objects; \r\n DROP TABLE my.accounts; \r\n\ --";

导致

SELECT [$col] FROM table;