问如果不使用sql，为什么要转义字符串？

EN

如果您构建了SQL命令字符串，则应该始终转义来自用户输入的SQL命令字符串的部分。

否则，使用准备好的语句。

它实际上不是SQL的一个弱点，而是大多数图灵完整解释语言的一个属性。代码注入可以在-and之外发生(例如，在shell脚本、-and代码等中)

还可以阅读Quine程序 (以及谷歌在编程语言中的反引文和准引文)。

这在很大程度上取决于您如何解释用户输入。如果您只是在稍后阶段存储用户输入以准确地中继，那么您可能不会介意，但是在您的示例中，如果您读取了输出，然后将其输出到一个网页上，那么您将打开自己以接受来自用户的恶意输入。假设您从输入字段中读取，然后将其直接输出到html文件中，并提供给它，比方说作为一个<p>user text</p>。如果恶意用户知道您的布局，他们很容易在其中插入一些javascript。更糟糕的是，如果您正在使用此数据生成(例如) .php文件，恶意用户可能会手工完成将在您的服务器上运行的东西。任何有一层解释的地方，你都有注射的危险。

如果用户输入被执行或者是正在执行的东西的一部分(sql，html，shell脚本.)你应该永远逃避它。如果你只是在读价值，就没有理由逃避它。