没有直接用户输入的SQL注入

Question

为了防止我的网站的SQL注入,我使用了预准备语句.

现在让我说我在我的代码中使用某个地方,这是一个简单的SQL查询:

    SELECT  DATA FROM DATABLE;

这段代码是否容易注入？好吧,在我看来,这是不可能的,因为没有用户输入.但我只是想确定.

Answer 1

如果你的陈述是固定的(没有外部参数),那么它对注射是免疫的.

所以如果你的代码看起来像这样:

result = RunQuery("SELECT * FROM Table")

那么你是安全的,因为每次查询总是相同的,不会受到用户的影响.