INSERT into `user` (id,login_name,pass_word,phone,email,create_time,update_time)
VALUES (id= '11',login_name ='11',pass_word ='11',phone = '11',email = '11',create_time = NOW(),update_time = NOW())
此时 mysql 会将 id ='11'等数据当做逻辑判断处理, 为 id ='11'=false=0

本文深入探讨了SQL注入攻击的风险,特别是在使用动态SQL语句时如何避免将字符串直接拼接到SQL语句中,以防被错误地解释为逻辑条件,从而导致安全漏洞。通过一个具体的例子,我们展示了当SQL语句中的参数没有正确处理时可能引发的问题。
INSERT into `user` (id,login_name,pass_word,phone,email,create_time,update_time)
VALUES (id= '11',login_name ='11',pass_word ='11',phone = '11',email = '11',create_time = NOW(),update_time = NOW())
此时 mysql 会将 id ='11'等数据当做逻辑判断处理, 为 id ='11'=false=0

896