order by后为什么不能参数化原因

最新推荐文章于 2024-10-09 08:30:00 发布

hrayha

最新推荐文章于 2024-10-09 08:30:00 发布

阅读量3.1k

点赞数

分类专栏：安全

本文链接：https://blog.csdn.net/hrayha/article/details/121941302

版权

安全

安全专栏收录该内容

26 篇文章

订阅专栏

本文深入探讨了SQL预编译在防止SQL注入中的作用，特别是为何预编译在orderby子句中效果有限。由于预编译接口仅支持自动加引号的字符串设置，且orderby后的字段名不应包含引号，这使得orderby位置成为SQL注入的潜在弱点。理解这一现象有助于加强数据库安全策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

注：sql注入的防御手段主要为预编译，但是预编译对orderby，表名、列名都不生效，所以在orderby的位置测试sql注入往往成功率比较高，原因参考下面文章，这里给出结论"order by后不能参数化的本质是：一方面预编译又只有自动加引号的setString()方法，没有不加引号的方法；而另一方面order by后接的字段名不能有引号。"

感兴趣的可以看完整的分析文章SQL预编译中order by后为什么不能参数化原因 - 诸子流 - 博客园