sql中or和and混合使用

前言

今天,线上环境出了个问题,导致被叼了一顿,特此纪念一下。

导致bug的代码片段:

 原因是红色框框里用了or没有加(),导致查询出来的数据对不上,所有条件加起来的数量不等于总数。

原因可见:此篇博客

实践一下:

sql:

SELECT * from t_student where sex =1 and class ='1' OR class is null and age <14;

等价于:

SELECT * from t_student where sex =1 and class ='1' UNION SELECT * from t_student where class is null and age <14;

正确写法:

SELECT * from t_student where sex =1 and (class ='1' OR class is null) and age <14;

  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
SQL注入的or和and是两个常见的关键字,用于拼接SQL语句的条件。 当应用程序没有对用户输入进行充分的过滤和验证时,攻击者可以通过构造恶意的输入来绕过输入验证,修改原始SQL语句的逻辑,从而执行非授权的操作。 在SQL语句,or用于连接多个条件,只要满足其一个条件就成立;而and则要求同时满足多个条件才成立。 为了防止SQL注入攻击,可以采取以下措施: 1. 使用参数化查询或预编译语句来构建SQL语句,将用户输入作为参数传递,而不是直接拼接在SQL语句。 2. 对用户输入进行严格的过滤和验证,确保只有合法的输入才能通过。 3. 对用户输入进行转义,将特殊字符转换为其对应的转义序列,以防止恶意输入破坏SQL语句的结构。 4. 限制数据库用户的权限,确保其只能执行必要的操作,避免对数据库的非授权访问。 总之,在编写应用程序时,需要充分考虑安全性,对用户输入进行正确的过滤和验证,以防止SQL注入攻击。 <span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [SQL注入 绕过and和or过滤](https://blog.csdn.net/m_de_g/article/details/121792949)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值