update t_activity inner join t_common_flag on t_common_flag.id = t_activity.common_flag_id where t_common_flag.del_flag = 1 where id in ("+map.get("ids")+")
我从map里获取了一个ids的字符串,然后拼接到了sql里
这个sql安全吗?
不安全,需要使用参数化的sql
别直接拼进去,验证下内容或者限制下长度,类型之类的
参数需要验证,比如给你传过去'',--之类的,还有尽量参数化
你从外面传入int.在数据访问层转成字符串就没问题了.
不安全
1、参数的特殊字符验证;
2、使用参数化增删改;
不安全,建议参数化,而且拼接sql也容易出错