摘要:
原始数据: 1.拼接SQL:容易注入 2.参数化查询: 2.1.等于 + Like: 2.2.等于 + Like + IN: 2.2.1.结果:类似的参数传递,但是结果为0 2.2.2.分析:通过SQL Server Profile得到运行sql,发现 IN 的参数被处理成了一个字符串,类似于: W 阅读全文
摘要:
1.初始数据 2.合并数据 3.完整SQL WITH V AS ( SELECT 'No-1' AS No, 'Name-1' AS Name, 'Remark-1' AS Remark UNION ALL SELECT 'No-1' AS No, 'Name-1' AS Name, 'Remark 阅读全文