众所周知,数据库会对sql进行语法分析,词法分析,语义分析,如果一条sql
采用拼接方式
例如:
select * from test where id= ’ + x + ’
x= 1’;delete from 'test
这样进入数据库就变成了
select * from test where id= ’ 1 ';
delete from 'test’
会被数据库解析成两条sql
但是预编译会让数据库跳过编译阶段,也就无法就进行词法分析,关键字不会被拆开,所有参数 直接 变成字符串 进入 数据库执行器执行。
可能数据库执行的sql是这样(推测)
select * from test where id= ’ 1 delete from test ’
(没有词法分析 所有关键字都成为了字符串的一部分)
也就失去了sql注入的能力