mysql - 存储过程真的可以防止 sql 注入(inject)吗

Question

我需要说服某人，除了存储过程的用户之外，他还需要净化用户输入。好吧，我知道我听起来很疯狂，但我对仅使用商店程序感到不舒服。我的第一个原因是我能够在存储过程中导致错误，但由于应用程序本身处理错误，因此错误消息被编码，外部很难理解其中的内容。但我仍然认为这不安全。

有人有什么建议吗？还是我怀疑存储过程是错误的？

Answer 1

不，它本身并不安全。您还可以在存储过程中执行以下操作:

SET @sql = 'Select * from products where name like ''' +@spinput+''' ';
exec(@sql);

在 @spinput 中使用错误的值，您可以注入(inject)代码。

但是，您可以编写对 sql 注入(inject)安全的存储过程。