如何优雅的防止 sql 注入？

[cocalrush]

最近遇到一个麻烦，有一个文本框可以输入任何文本。
现在的解决方案是拦截参数里面的敏感符号（-- ‘ 等）和敏感词（ select and 等），但是总觉得不够好。
想请问下如何优雅的防止 sql 注入呢？
非常感谢。

[Andy1999]

PDO

[a302800411]

执行 SQL 的时候函数用两个参数那种？

[tobyxdd]

PreparedStatement😂😂

[cocalrush]

@Andy1999 感谢~。现在目前用的是 JAVA （逃）...

[mcone]

浓浓的知乎装某器官范儿，你这问题风格应该拉去知乎

个人感觉这东西要啥优雅，又没人看得到，管用就行。优雅如不成，被 x 了就不好玩了

[cocalrush]

@a302800411
@tobyxdd
感谢 目前也用了 PreparedStatement... 但是我司觉得还是不够放心 - -！

[cocalrush]

@mcone 是的，我也是这么想的。
以前都过滤了"and"字符。但是在英文版上 老外输"and"不是一般的多。所以造成了误杀很多。现在精简了下，所以上来问下有没更好的方案。
刚刷了知乎回来， bigger 条涨满了没法释放...

[echo1937]

口口相传 PreparedStatement 可以防注入，多的我也不知道。

[barbery]

必须 prepare 啊，原生防注入

[gdtv]

用了 prepare 就可以了，这个完全不是问题，我担心的是带有危险的 js 脚本或者 xss ，这些才麻烦

[winterock]

专业的事交给专业的人。
网络攻击这种事情，我只能说防不胜防。
试试知道创宇或者安全宝。

[tabris17]

放弃拼接 SQL 保平安

[HentaiMew]

优雅这个词真的是被用烂了…

[xwing]

坚决不用 sql 拼接。 设置数据库操作权限。如果是 java 的话，为什么不用 ORM ？

[zrp1994]

base64 加密下？如果不需要查询其中的内容……

[virusdefender]

字符串过滤只能骗自己

欢迎试试 http://sqlchop.chaitin.com/

[cocalrush]

@barbery
@echo1937
@gdtv
妥~
XSS 是真麻烦...

[cocalrush]

@xwing 也有用 ORM 但是有些查询还是得原生 sql

[cocalrush]

@virusdefender 这个有点意思... 找时间研究下 感谢。

[thinkmore]

最好让用户不能输入自定义 sql ，为什么一定要把 sql 接口暴露给用户呢？
@cocalrush
至于 css 和 js ，一般转义还是能够解决问题的