字符串拼接的update操作的sql安全吗?

[已解决问题] 解决于 2018-06-02 14:40

update t_activity 
inner join t_common_flag on t_common_flag.id = t_activity.common_flag_id 
where t_common_flag.del_flag = 1 where id in ("+map.get("ids")+")

我从map里获取了一个ids的字符串,然后拼接到了sql里

这个sql安全吗?

sql java jdbc

renguanyu

| 小虾三级 | 园豆：841
提问于：2018-05-27 14:12

< >

最佳答案

不安全，需要使用参数化的sql

奖励园豆：5

dudu | 高人七级 |园豆：30255 | 2018-05-27 14:20

其他回答(5)

别直接拼进去，验证下内容或者限制下长度，类型之类的

饥饿前行者 | 园豆：272 (菜鸟二级) | 2018-05-27 17:33

参数需要验证，比如给你传过去''，--之类的，还有尽量参数化

乐途 | 园豆：206 (菜鸟二级) | 2018-05-27 20:34

你从外面传入int.在数据访问层转成字符串就没问题了.

吴瑞祥 | 园豆：29449 (高人七级) | 2018-05-28 09:30

不安全

1、参数的特殊字符验证；

2、使用参数化增删改；

雨之秋水 | 园豆：649 (小虾三级) | 2018-05-29 10:36

不安全，建议参数化，而且拼接sql也容易出错

渴望成为大神的菜鸟 | 园豆：213 (菜鸟二级) | 2018-07-06 11:50

清除回答草稿

您需要登录以后才能回答，未注册用户请先注册。

欢迎，请先 登录 或者 注册 。

字符串拼接的update操作的sql安全吗?

欢迎，请先登录或者注册。