是否参数查询删除保留的关键字和符号

Question

如果是这样，我的VARCHAR包含;或[或将自动删除的密钥“创建”？我不认为这很简单，避免sql注入的参数化机制是什么？

Answer 1

不，它不删除任何字符。相反，它把这些字符作为值而不是代码。如果你在分号或引号或任何其他有意义的字符/关键字传递一个字符串，那么你就简单地与有分号或引号或关键字中有一个字符串值结束。

如果将查询构造为原始字符串，而不是使用参数化查询，那么您需要确保字符被恰当地转义以获得相同的行为，这是一项不平凡的任务（如果您想要支持每种可能性），这就是为什么参数化查询存在为您处理它。