select * from table1 where username='+s1+' and password ='+s2+'(s1,s2是变量),请问此SQL语句存在安全问题吗?如何修改可以解决此问题?

select * from table1 where username=''or''=''
你在查询分析器中执行一下　结果会把全部数据显示出来．
因为''or''=''　返回的是true．
１建议你前台过滤掉特殊字符
２如果你用的是jsp开发．sql的变量应该用占位符，不能直接在sql中使用变量
３避免url的参数传递．．．
很多～　其实最根本的就是特殊字符过滤．