为什么我们不能手动转义一下用户输入的%,其他的再交给PreparedStatement转义?
我们都知道在JDBC中,PreparedStatement可以防止sql注入,不知道大家有没有想过一个问题呢?当我们在界面上查询的时候,界面上如果用户输入了%百分号,会不会导致我们的sql语句在模糊like查询的时候出现问题呢?这里我自己有个小疑问?为什么我们不能手动转义一下用户输入的%,其他的再交给PreparedStatement转义?大家可以写程序测试下?欢迎大家一起讨论和交流!
原创
2017-12-27 09:04:55 ·
813 阅读 ·
0 评论