把字符串里面的'替换成''拼接到 SQL 里，新版主流关系数据库还会有被此字符串注入的可能吗？

[xiangyuecn]

今天在写 ios 的 sqlite 数据库 CRUD （未用第三方库），找到的文章清一色的对查询参数中的字符串没有任何处理就拼到了 sql 语句里面，就直接调用了 sqlite3_prepare 函数执行。如果字符串里面出现了'字符，就算不是恶意输入的，但也会导致问题呀。Android 稍微好点，有参数化那种查询。

于是产生了这个疑问：在仅支持自己构造完整 sql 语句执行的情况下，把用户输入的一个字符串里面的'换成了''拼接到 sql 语句里面，新版、现代、主流的关系型数据库是否还有可能被这个字符串注入？

不限于后端这个重点防范的地方，前端 js、Android、ios 等能接触到数据库的地方都应该会产生此问题吧。

---

假设用的开发语言、数据库都是当前最新版。比如伪代码：

name=UserInput("name").replace("'","''")
sql="select * from table where name='"+name+"'"
db_exec(sql)

已经将用户输入的 name 字符串中的'替换成了''，最新版的 oracle、mysql、sql server 等数据库还有可能被用户输入的这个字符串注入的风险吗？

[Takamine]

现在一般都先走预编译，这样简单的注入应该没什么用了。

[webshe11]

naive，还有反斜杠呢
用户输入：
someone\' or 1=1 #
替换结果：
someone\'' or 1=1 #
拼接结果：
select * from users where username='someone\'' or 1=1 #'
建议用编程语言提供的安全操作函数，例如 PHP 的 PDO，不要自己发明

[xiangyuecn]

@webshe11 #2 感谢，反斜杠似乎也是一个需要留意处理的问题😊

不是我要发明呀，语言环境里面没有提供（没有找到）更好的操作，在只能靠自己拼接的情况下，能有什么办法呢😂

[xiangyuecn]

@webshe11 刚试了一下，sqlite 和 sql server 反斜杠是普通字符，在 sqllite 和 sql server 里面无需特殊处理。

[momocraft]

sqlite 别管了，用户有权对自己的设备做任何事

[xiangyuecn]

@momocraft #5 哈哈，虽然如此，但发生了发生了类似注入性质的行为时（用户正常输入、非恶意、只是碰巧输如了关键字），往往会导致程序运行错误，好端端的 app 运行着就崩溃了就不好啦😁

[EchoUtopia]

mysql 也可以配置，是否把‘\‘当成普通字符，postgres 默认是当作普通字符

[azh7138m]

prepare+bind 对 SQLite 来说就是安全的了。
php 中 execute 的时候传入参数也是安全的 https://www.php.net/manual/en/pdostatement.execute.php 。

[liprais]

除了 prepared statement ,都是不安全的

[starsriver]

建议先变成实体，然后全部转换成 utf16 扔数据库.

后台都有专门的过滤函数，不用担心。