SQL 語句中特殊字元的處理及預防sql 注射

在sql語句中，有些特殊字元，是sql保留的。比如 ' [ ] 等。我們可以先看看它們的用法。

當需要查詢某資料時，加入條件語句，或著當你需要insert記錄時，我們用 ' 來將字元型別的資料引起來。比如：

select * from customers where city = 'london'

當表的名字或列的名字中，含有空格等一些特殊字元時，我們需要用將表名引起來，告訴語法分析器，號內的才是乙個完整的名稱。比如

select * from [order details]

如果，字元資料中，含有 ' 改怎麼辦呢？其實，好多人在這裡並沒有處理字元川中 ' 符號，才造成sql 注射危險。就那上面的那個例子。在sql語句拼接的時代，比如

string sql = "select * from customers where customerid = '" + temp + "'";

如果，我給temp賦值為 tom' or 1=1 ---

那麼你拼接起來的語句為 select * from customers where customerid = 'tom' or 1=1 --- '

哈哈，1=1 衡為真，---會把後面的sql語句注釋掉。而前面因為有輸入的 ' 而使的語句是合法的。那or的條件，會把所有的記錄都選出來。這就是sql注入。在做使用者登陸時，如果沒有處理該問題，那你的系統受危害的可能性會很高的。

如何處理字元資料中的 ' 符號呢？方法很簡單，用兩個 ' 符號代替乙個。比如，其實際傳入的值為lon'don，處理後為

select * from customers where city = 'lon''don'

就可以了。

如果表或列的名稱中含有 [ 或 ] 字元呢？比如select * from [order] details]，那中間 ] 符號豈不是先和第乙個[ 配了。後面的就是非法的了。怎麼辦呢？簡單，使用 ]] 代替 ] 。對於[，則無須處理。那就該為

select * from [order]] details]。