如何正确使用SQL LIKE语句中的参数来防止SQL注入？

在 SQL 的 LIKE 语句中使用参数

问题陈述：

创建搜索时函数中，使用参数来防止SQL注入攻击的查询是实现：

SELECT * FROM compliance_corner WHERE (body LIKE '%@query%') OR (title LIKE '%@query%')

但是，此查询不会返回任何结果。

答案：

参数可以在 LIKE 语句中有效使用以防止SQL注入攻击。但是，原始查询中使用的语法不正确。

更正的语法：

在 LIKE 语句中使用参数的正确语法是：

SELECT * FROM compliance_corner WHERE (body LIKE @query) OR (title LIKE @query)

在这种情况下，参数定义为“@query”，并且应使用参数化来分配其值查询。

VB.NET 中的示例：

Dim cmd As New SqlCommand(
"SELECT * FROM compliance_corner" _
+ " WHERE (body LIKE @query )" _
+ " OR (title LIKE @query)")

cmd.Parameters.Add("@query", "%" + searchString + "%")

以上是如何正确使用SQL LIKE语句中的参数来防止SQL注入？的详细内容。更多信息请关注PHP中文网其他相关文章！