看板
[ Database ]
討論串[SQL ] SQL Injection
共 11 篇文章
內容預覽:
我想討論的是就如同這篇文章所說的. http://www.microsoft.com/Taiwan/sql/SQL_Injection_G1.htm. 在網頁上有時候會碰到. 要直接抓使用者的語句. 比方說. Sql="select * from user where user='" + reque
(還有558個字)
內容預覽:
是的，不過一般而言，. 我會這麼處理的都是不應該會出現'這符號的欄位，. ex.帳號密碼..在撰寫的時候就要求它不能輸入'，. 雖然這些可以用JavaScript作頁面上的過慮，. 但是難防從網址上直接帶過來的參數闖關。. 程式語言的部份這是我知道的. 我想問的是單就SQL語法而言裡面有沒有特別處理
(還有580個字)
內容預覽:
通常需要擔心這種東西的. 大部分是帳號密碼之類的（當然其他的也不是不用顧慮啦）. 簡單地說，這個時候用 POST 比較好. （絕大多數時候，POST 都比較好）. 不過，這已經離開這個版的討論範圍了. 我記得標準 SQL 是用兩個 '' 來代表一個 '. 針對你的問題，我的做法是，在組 SQL 句子
(還有64個字)
內容預覽:
一般欄位都不該有符號和空格. `-=[];',./!@#$%^&*()~_+{}:"<>?. 應該在後端程式(ex:asp)自動消除或在前端禁止輸入(ex:javascript). 類似備忘的欄位，或是有特殊用途，才會允許輸入符號. 這種情形就使用逸位字元的方式來處理. 像sql server 中就
(還有64個字)