[ Java ]关于 SQL 注入的两个问题，请教一下。

[sandman511]

1.所有的 SQL 语句都使用 preparestatement 的话，不做其他任何设置，是否就可以彻底避免 sql 注入?

2.因为系统较老 且 sql 语句很多 改成 preparestatement 工作量过大，于是写了一个过滤器，过滤参数中的 or 等词汇，但这样带来的问题是比如 importentInfo 这样的词汇中带有 or，也被过滤了。改如何修改?

新手，如果问的问题比较低级，请不要嫌弃哈

[leonme]

如果使用 ORM 框架的话，不用考虑这个问题

[liprais]

prepared statement 是唯一从源头上解决问题的方法，其他的肯定有漏洞

[sandman511]

@leonme servlet+JSP

[hlwjia]

1. Nope

https://stackoverflow.com/questions/134099/are-pdo-prepared-statements-sufficient-to-prevent-sql-injection
https://security.stackexchange.com/questions/15214/are-prepared-statements-100-safe-against-sql-injection

2. 你觉得你手写的能和被公认的库比？还比他强？

[sandman511]

@liprais 用且仅用 prepared statement 是否可以彻底避免 SQL 注入了

[sandman511]

@hlwjia 我等等去看下这两个帖子
“你觉得你手写的能和被公认的库比？还比他强？”
公认的库？这是什么意思

[ym1ng]

OWASP ESAPI 了解一下

[Jacky23333]

@sandman511 这跟 orm 有什么关系，麻烦楼主先百度下 orm 好吧.....

[retanoj]

1 并不能。