OnlyUsername

摘要： 这才是为什么参数化查询时，能防注入的原因。sql拼接，直接会在编译时处理，所以如果拼接时出现有害字符(常见的案例是：select * from User where name='test' and password=1 OR 1=1)就能查出数据来。因为该sql在编译时就直接好了。通过参数化查询会分 阅读全文