小编Ron*_*ira的帖子

我正在Big-query为我们的网站编写一些Google 动态报告实用程序,这将允许用户在查询中选择要替换的参数.鉴于此查询"模板":

SELECT  name ,
        birthday
FROM    [dataset.users]
WHERE   registration_date = '{{registration_date}}'

我们从用户那里获取{{registration_date}}值并将其替换为模板,从而产生一个查询:

SELECT  name ,
        birthday
FROM    [dataset.users]
WHERE   registration_date = '2013-11-11'

sql-injection鉴于我正在使用Google Big-query客户端API 执行查询,并且API不允许使用传统RDBMSapi 上的定位参数,因此我可以在这种情况下防止类似攻击.