 |
1
肯定的咯，一般都是把 keyword 再加一层双引号
|
 |
2
参数化查询了解一下
|
 |
3
不用 preparedstatement 避免不了
|
 |
4
楼主的例子应该就已经是参数化的了吧，我看着好像没问题啊
|
 |
5
一般都是走预编译吧。
不放心就加一层参数检验正则就行。 |
|
6
又想了一下，如果 keyword 里本来就有 % 似乎查到的就不是想要的了。
|
 |
8
应该是没有问题，但是实际上还是应该做，去除控制字符，并且分词然后查询
|
 |
9
没问题 你的 sql 里面已经有"?"占位符了……客户端会做预编译的
|
 |
10
注入不会。不过要考虑索引问题，
|
 |
11
keyword 本身还要做%和_的转义吧。
|
 |
12
感谢楼上所有老铁。
|
 |
spacewanderJun 20, 2019
13
如果只是想查询是否包含给定的 keyword，可以试下用 DB 提供的字符串查找 SQL 函数，比如 strpos。性能会好些，另外不用担心转义的问题。
|
3
Select Language