看板
[ Database ]
討論串[SQL ] SQL Injection
共 11 篇文章
內容預覽:
因為我只用 java 來寫過 database 的程式，所我只知道在 java 中的做法。. 要避免 SQL injection 首先要做的，應該是要用 prepared statement 來處理. database 的操作，如果是用過濾的方式來做，一來還是很容易讓別人找出漏洞，. 二來有時的確有
(還有58個字)
內容預覽:
一般欄位都不該有符號和空格. `-=[];',./!@#$%^&*()~_+{}:"<>?. 應該在後端程式(ex:asp)自動消除或在前端禁止輸入(ex:javascript). 類似備忘的欄位，或是有特殊用途，才會允許輸入符號. 這種情形就使用逸位字元的方式來處理. 像sql server 中就
(還有64個字)
內容預覽:
通常需要擔心這種東西的. 大部分是帳號密碼之類的（當然其他的也不是不用顧慮啦）. 簡單地說，這個時候用 POST 比較好. （絕大多數時候，POST 都比較好）. 不過，這已經離開這個版的討論範圍了. 我記得標準 SQL 是用兩個 '' 來代表一個 '. 針對你的問題，我的做法是，在組 SQL 句子
(還有64個字)
內容預覽:
是的，不過一般而言，. 我會這麼處理的都是不應該會出現'這符號的欄位，. ex.帳號密碼..在撰寫的時候就要求它不能輸入'，. 雖然這些可以用JavaScript作頁面上的過慮，. 但是難防從網址上直接帶過來的參數闖關。. 程式語言的部份這是我知道的. 我想問的是單就SQL語法而言裡面有沒有特別處理
(還有580個字)