修复SQL参数化

文章/答案/技术大牛

发布

1回答

c#、.net、sqlclient

我在更新一些SQL查询以使用参数而不是字符串连接时遇到了一些问题。没什么特别难的，我只是试着找出我错过了什么或做错了什么。但是，每次我尝试这样做(参数化)时，它都会返回0结果或错误，这取决于我尝试和格式化它的方式。

浏览 8提问于2019-12-14得票数 0

回答已采纳

2回答

参数化SQL的性能

sql、odbc、sybase、database-performance、parameterized-query

但这是不安全的，我应该使用参数化查询。SELECT *WHERE key LIKE ?不幸的是，参数化的SQL execute方法需要一整分钟的时间。这个查询是向下钻取/调查包中的许多查询之一，对于所有参数化查询(与字符串连接相比)，我都遇到过类似的速度减慢。我如何找出时间的去向(并修复它)？

浏览 2提问于2012-03-22得票数 2

回答已采纳

1回答

不正确语法近"(“)

sql、sql-server、vb.net、syntax、sql-update

ExceptionEnd SubPublic Sub Update_Client() 我很确定这个错误在我的sql

浏览 1提问于2016-01-09得票数 1

回答已采纳

4回答

PHP Mysql Insert Insert to不工作，如果没有数据发布到数据库，则没有错误

php、mysql、insert-into

(mysqli_connect_errno()) echo "Failed to connect to MySQL: " . mysqli_connect_error(); if (mysqli_query($con,$sql

浏览 0提问于2013-09-05得票数 1

2回答

PreparedStatement中的参数验证

java、sql、jdbc

FROM MYTABLE WHERE (FIELD1='firstFieldValue' OR FIELD1='' or 'firstFieldValue'='');我用下面的参数化SQL创建了一个预准备语句： SELECT FIELD1, FIELD2 FROM MYTABLE WHERE (FIELD1=?我认为预准备语句SQL</

浏览 1提问于2011-08-26得票数 0

回答已采纳

1回答

insert into语句出错

java

我的代码工作正常，它正在保存数据，但当我插入两个字段，即日期和出生日期时，它显示错误:syntex error in insert into语句in my DB我已经将这两个字段作为数字，我的代码是： int len2; int len1; String temp,temp

浏览 0提问于2011-04-07得票数 0

1回答

如何使用长生不老的查询在postgres中插入字符串数组

postgresql、elixir、ecto

我试图使用Elixir Ecto.Adapters.SQL.query插入postgres，查询由字符串组成的标记数组组成。%{"description" => desc, "id" => id, "title" => title, "tags" => tags}=response_map Ecto.Adapters.SQL.query

浏览 1提问于2017-06-09得票数 0

2回答

使用PDO::prepare可能会极大地降低SQL注入的可能性，因为它允许参数化查询。但是，由于它还允许非参数化查询，因此它的安全性完全取决于它的使用方式。对于我相当缺乏经验的编程团队，我正在考虑在PDO::prepare上加上一个包装器，它有一个额外的过滤级别:如果参数包含任何单引号或双引号，它就会生成一个错误。当我们发现一个冲突时，它要么需要修复，要么在极少数情况下，它涉及一个不能由参数处理的动态查询，比如变量列或表名。(在我们构建的应用程序类型中

浏览 1提问于2016-09-25得票数 0

1回答

当查询使用硬编码值时，SQL* Server 2012无法使用索引*

indexing、sql-server-2012、query-performance

经过几个小时的努力，我终于发现这样一个事实:当我用参数运行SQL语句时，它很快就会返回，但当我用硬编码的值运行它时，它却花费了很长时间。我假设sp_executesql在执行查询之前将@Cat参数作为硬编码值插入到查询中，从而重现与非参数化查询相同的问题。当我向慢查询添加一个表提示以使用该索引时，它修复了这个问题，例如：FROM MyTable a WITH (INDEX(IX_MyIndex_3)) WHERE a.MyColumn= 'Ginger&#

浏览 0提问于2016-11-03得票数 2

1回答

定单后的SQL注入

java、oracle、hibernate、jpa、sql-injection

我正在处理SQL注入修复程序。我修改了DAO层以参数化我的标准(准备语句)。在屏幕上，我有一个网格，允许对数据进行排序。我的问题是在“点菜”之后，会有任何SQL注入吗？简而言之:如何处理动态Order子句的SQL注入。

浏览 4提问于2014-05-27得票数 2

回答已采纳

1回答

语句中查询表达式出现语法错误(缺少运算符)

sqlStatement = "select Price from OrderItem where orderId=" + orderId; myDataAdapter = new OleDbDataAdapter(myAccessCommand); myDataAdapter.Fill(myDataSet, "OrderItem");`DataTable

浏览 2提问于2015-08-04得票数 0

1回答

错误sqlcommand.ExecuteNonQuery()

c#、sql、sql-server

我的sql server 2008数据库里有一张桌子这个表有两个记录，username = lecturer首先，我在SQL Server中测试查询：public bool delete(string userdeleted) string

浏览 5提问于2013-11-08得票数 1

回答已采纳

3回答

使用实体框架Database.SqlQuery的SQL注入

c#、sql-server、asp.net-mvc、entity-framework、sql-injection

new SqlParameter("@p1", Param1),如果我用下面的字符串调用一个存储过程，我会生成一个SQL

浏览 0提问于2017-05-29得票数 1

1回答

在PHP中保护输入字段的全站式解决方案

php、security

我最近开始在一家有网站的公司工作。以前的程序员没有在输入字段上使用任何保护。现在我需要做点什么。该网站包含数百个PHP文件，包含在两个文件中(index.php和main.php -第一个用于访问用户，第二个用于注册用户)。有没有办法通过只包含在这两个文件中的代码来保护所有文件中的所有字段？否则我将不得不编辑每个单独的PHP文件，这将花费如下所需的时间。一个月。

浏览 0提问于2010-11-04得票数 1

回答已采纳

1回答

从sql注入保护php脚本

mysql、sqlmap

我的朋友们的网站被黑了，黑客用SQLMAP从http://example.com/users/users.php?id=3泄露所有的数据库数据

浏览 0提问于2016-08-02得票数 -3

1回答

转义SQL参数

.net、sql、nhibernate、hql、parameters

本质上，NHibernate将为相同的HQL参数生成多个SQL参数，这将导致在分组构造中使用参数的查询出现问题。在bug修复之前，我想我只需要将参数连接到HQL中即可。显然，这很容易受到SQL注入的影响，除非我对参数值进行转义(因为它是HQL，所以不能使用常规的ADO.NET参数)。在System.Data中的某个地方有没有方法可以转义参数值，从而安全地连接成SQL字符串？我使用的是SQL

浏览 0提问于2009-12-11得票数 0

回答已采纳

1回答

基于时间的SQL注入？

web-application、sql-injection

在第三方网站审核过程中，我发现用户代理头容易受到基于时间的SQLi的攻击。有人能建议我如何修补这个漏洞吗？

浏览 0提问于2016-12-14得票数 0

3回答

System.Format异常

c#、string、exception

由于下面的代码，我编写的程序抛出了一个异常：所有变量都是String。我也有一个类似的String.Format，在这之后，它工作得很好。还有3个变量，都是String。

浏览 1提问于2015-02-17得票数 0

回答已采纳

2回答

显示是按名称还是按EmpID查找记录

c#、sql、sql-server、winforms、ado.net

using (SqlConnection myDatabaseConnection = new SqlConnection(myConnectionString.ConnectionString)) myDatabaseConnection.Open(); {

浏览 3提问于2013-05-29得票数 3

3回答

为什么不让非参数化查询返回一个错误？

security、sql、rdbms

SQL注入是一个非常严重的安全问题，在很大程度上是因为它很容易出错:构建包含用户输入的查询的显而易见、直观的方法会使您容易受到攻击，而缓解这种问题的正确方法要求您首先了解参数化查询和SQL注入。在我看来，解决这一问题的明显方法是关闭显而易见的(但错误的)选项:修复数据库引擎，以便在其WHERE子句中使用硬编码值而不是参数的任何查询返回一个很好的描述性错误消息，指示您使用参数。这将关闭SQL注入冷，几乎一夜之间，但据我所知，没有真正的RDBMS这样做。有

浏览 0提问于2015-08-11得票数 22

点击加载更多