sql 如果是字符串只过滤单引号就够了吗？

Question

？？

Answer 1

http://www.jdskycn.com/blog/article.asp?id=85

Answer 2

防SQL注入其它SQL命令（而不是字符值），假设你的SQL中的字符值用但引号作为首尾标志，仅仅替换单引号足够了。使用参数方式组成命令，则不用替换任何字符。如果你担心有其它的注入，要根据具体的注入目的来防范。例如上传的文本中不能有html标签和javascript命令，等等。那种空谈“非法字符”，没什么好坏标准，可能永远也不够，可能完全多余，如果不知道你到底要防范什么注入，则很难说够不够。

Answer 3

例如上传的文本中不能有html  -->  例如上传网页内容的文本中不能有html