是不是过滤字符串之后就可以防止sql注入？

Question

如题，小弟想知道是不是过滤了字符串之后就可以防止sql注入了？sql是拼的，没用存储过程。
如果不行，还要注意哪些问题，（在现有的基础上改，不用存储过程），谢谢！！！！

Answer 1

可以在使用SQL语句的时候带参数`
 这样也可以防止SQL注入的

Answer 2

存储过程和参数化
SQL过滤也可以

Answer 3

没有绝对的.
譬如有人输入"ininsertsert",你过滤了"insert",结果剩下"insert"了.
当然只是打个最简单的比方,百密必有一疏,过滤只能说相对安全一些.

Answer 4

如果都用过滤，那么CSDN 就发不了帖子了。