如何在SQL查询中转义特殊字符,以避免注入

Question

使用delphi 2010,我想知道是否有某种方法来逃避以下字符串,以使其免受sql注入攻击:

我的字符串:

    SQLQuery1.SQL.Text := 'SELECT * FROM registered WHERE email="'+
      email+'" and login_pass="'+password+'"';

如何重写这个字符串,使其比有人在我的TEditbox中输入"他的电子邮件或密码"更安全!

Answer 1

使用参数,让数据库驱动程序处理这些东西.

SQLQuery1.SQL.Text := 'SELECT * FROM registered WHERE email= :email'+
  ' and login_pass = :password';
SQLQuery1.ParamByName('email').AsString := EMail;
SQLQuery1.ParamByName('password').AsString := Password;