对于自定义查询的输入信息的过滤，希望大家能列举出破坏生成正常SQL语句的非法和恶意字符，如单引号之类的。

Question

改楼主的错:
*是针对access的,SQL中用%还有非模糊查询的时候需要屏蔽:
% 包含零个或更多字符的任意字符串。
_（下划线） 任何单个字符。  
保留的关键字不知道是否在楼主的范围内?如果在的话,那就多了.

Answer 1

如果你用=就没有问题
如果你用like就还有：
% _ [

Answer 2

单引号,%,_,逗号,[],点号,--/**/ = > < ( )

Answer 3

我在JSP中写这样的代码。
if(content != null && !content.equals("")) {
//插入前对文本格式化，1、单引号变两个单引号，2、换行变<br> 3、<>分别换成&lt;&gt
         content = content.replaceAll("'", "''");
content = content.replaceAll("<", "&lt;");
content = content.replaceAll(">", "&gt;");
content = content.replaceAll("\r\n", "<br>");
}

Answer 4

;
分号同样值得关注，要不你的网站什么时候被黑了都不知道！http://www.51base.com/article/search.asp?page=2&action=search&search=sql+%D7%A2%C8%EB&typeid=1