数据库是否支持绑定参数？如果不是，您用来与数据库对话的包是否具有字符串转义功能？
与手动操作相比，这些方法会更好，特别是因为除了引号外，用户输入中可能存在非常不安全的内容。如果您手动将查询字符串组合在一起并将其发送到数据库，则它将容易受到SQL攻击。
对于您的直接问题，在两个地方都用单引号代替。假设您可以通过在其前面加上一个斜杠来对引号进行转义
.replaceAll('"', '\"')。请 寻找一种更安全的方式来清理用户输入。
数据库是否支持绑定参数？如果不是，您用来与数据库对话的包是否具有字符串转义功能？
与手动操作相比，这些方法会更好，特别是因为除了引号外，用户输入中可能存在非常不安全的内容。如果您手动将查询字符串组合在一起并将其发送到数据库，则它将容易受到SQL攻击。
对于您的直接问题，在两个地方都用单引号代替。假设您可以通过在其前面加上一个斜杠来对引号进行转义
.replaceAll('"', '\"')。请 寻找一种更安全的方式来清理用户输入。
名师互学网 版权所有 (c)2021-2022 ICP备案号：晋ICP备2021003244-6号
