preparedstatement为什么比statement安全
preparedstatement对sql语句进行预编译，所以安全，而statement可能会有恶意sql语句的情况,就是检查登录username userpassword后跟 or 1=1这样的恶意sql语句，请问这个预编译为什么安全
展开
收起
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
1
条回答
写回答
-
我说我不帅他们就打我，还说我虚伪
预编译不是拼接字符串，所以没有sql注入的风险。拼接sql的问题是，你的参数和sql语句体本身分不出来。如果
username是abc' or '1' = '1
拼接上你外面的sql，就构成了一个含义不同的sql语句。
而preparedstatement直接把参数代入编译，而不是让数据库去解析sql中的参数，就没有这个问题。2019-07-17 19:08:19赞同 展开评论
相关问答