数据库更新问题

Question

sql="update info ste content="+content+"";
如果变量content里有and,or,'之类字符怎么办？

Answer 1

不知道你这个是在那里用的，是存储过程还是c#程序里的
这属于sql注入漏洞
用户可以输入不同组合来入侵服务器。一般是要过滤掉其中的' , 等特殊字符
还有一种方法是使用存储过程将content作为参数，传到存储过程执行但存储过程太多，也不利于软件开发，要分情况自己考虑了。

Answer 2

另外你上面的程序有错误
最好为sql="update info ste content='"+content+"'";

Answer 3

你就用sql="update info ste content=@content＂
来防止ＳＱＬ炷入

Answer 4

C#里的
sql="update info set content='"+content+"'";
content是读取txt文件的内容

Answer 5

不是要防注入，content是得到的一段文本，里面可能有一些sql的保留字符，直接用sql="update info set content='"+content+"'";会出错