关于SQL注入解决问题

Question

老师您好！请看这两张图。在写上图的查询代码中，SQL里“三年级一班”字符串您分别用了传入参数或者SQL注入的两种不同方法。那么在下图的修改代码中“大李明”字符串您没有使用传入参数的方法呢？

Answer 1

NavCat 2021-08-20 12:02:48

同学你好，这里只是课堂练习，为了节约同学们的时间，于是把值直接写在了SQL里。

在实际工作中，规避SQL注入，首先要判断在什么场景下才会有SQL注入：

一定是SQL中的值来自用户的输入，这个值是动态的，才会存在SQL注入。下面那张 图里面的SQL参数是我们程序员自己写的，理论上不存在SQL注入的问题，除非是程序员特意为之。

为了保险起见，无论是否存在SQL注入的风险，建议同学还是使用图一中的方式。

• 提问者 weixin_慕仰6559434 #1

  老师您好！我想再确认一遍：
  问题1，就是如果不考虑SQL注入的情况，图2的SQL写法也是可以在Python中成功执行的对吗？
  问题2，SQL注入的风险主要还是防止暴露服务器上边的数据库对吗？

• NavCat 回复 提问者 weixin_慕仰6559434 #2

  完全正确！

• 提问者 weixin_慕仰6559434 回复 NavCat #3

  谢谢老师！