SQL问题

Question

前台查询条件输入框输入'   (半角的单引号)
后台语句：SELECT * FROM TBL_RZ WHERE 1=1  AND WJXL = 794 AND CYZ LIKE '%'%'请问各位老鸟是如何处理like通配符中间碰到半角单引号的？

Answer 1

先读取这个值进行判断，适当修改，特别是文本框的输入，不能直接作为参数传入，这是个很古老的漏洞SQl注入攻击

Answer 2

SELECT * FROM TBL_RZ WHERE 1=1  AND WJXL = 794 AND CYZ LIKE '%''%' 试试是不是可以的

Answer 3

SELECT * FROM TBL_RZ WHERE 1=1  AND WJXL = 794 AND CYZ LIKE '%''%' 试试是不是可以的

Answer 4

看看这个吧,希望能对你有所帮助
http://blog.csdn.net/oldwolf1987/archive/2008/12/25/3603006.aspx