我知道我可以使用存储过程来代替,但是考虑到我有一个管理员可以输入commentid的文本框,那么SQL注入这段代码会很容易吗?ConfigurationManager.ConnectionStrings["ForumDatabaseConnectionString"].ConnectionString);string sql= "DELETE FROM Comment WHERE Comment.commentId = @commentid";
SqlCommand cmd = new Sql
这个库只允许发送不带参数的原始SQL查询。因此,我希望以一种SQL防注入的方式将参数插入到查询中,并在Python中获得结果格式化的查询。类似于下面示例中的format_sql函数: sql = 'select * from table where id = ?'formatted_sql = format_sql(sql, (123,)) # 'select * from table where id = 123