用于创建表的SQL Prepared语句

Question

我想知道一些基于用户输入动态创建表的方法(SQL Prepared Statement)

CREATE TABLE ? (
  First_Name char(50),
  Last_Name char(50)
)

我应该用什么来代替问号

Answer 1

PreparedStatement占位符不适用于表名或列名,它们仅用于实际列值.

因此,您必须动态创建(准备好的)语句字符串,这意味着您的应用程序将容易受到SQL注入攻击.取决于应用程序应该如何使用 - 以及由谁 - 这可能是一个很大的问题.

相关问题

• 如何在不使用预准备语句的情况下清理SQL