请教一下，我这样写，可以防止注入攻击么

Question

我是用MYSQL数据库的，请各位高手帮忙看看，谢谢str = str.replaceAll("\\\\","\\\\\\\\").replaceAll("\"","\\\\\"");

Answer 1

str = str.replaceAll("\\\\","\\\\\\\\").replaceAll("\"","\\\\\"");=======分析一下，把 \　转换成 \\ ,  再把 “ 转换成 \" ,貌似很有道理。
但是人家输入 ‘  你不转换成 \'么？==============================================
防止注入攻击，建议使用 prepareStatement来写sql。
或者直接在输入时把特殊符号禁止掉。

Answer 2

还有，我想问一下
如果把网站从MYSQL数据库移植到SQL SERVER数据库，是不是直接配置数据源的连接地址就行了？还是要修改页面里的SQL语句？

Answer 3

解决注入攻击的最好方式还是使用 PreparedStatement,

Answer 4

1.PreparedStatement
2.自己判断好了就可以了。