关于sql注入的问题。。。

Question

如果不是主动提交的模块 只是select  是否就不需要进行参数化查询了？？

Answer 1

你的SQL语句用到参数么
有参数就有注入，没有参数就不需要

Answer 2

select * from table where id=8变为
select * from talbe where id=8 or 1=1通过URL参数,人家都可以让你的表记录爆出来

Answer 3

是啊 有where就有注入
还是参数话吧

Answer 4

select 同样会被注入。 一般都需要进行防注入检查。