健全性检查-连接日期值-SQL注入

如果在存储过程中使用这样的语句:

select CONVERT(datetime, @Year + '-' + @Month + '-' + @Day+ ' ' + @Time)

那么您就可以了,因为目标数据类型 datetime 将只接收有效的日期字符串。

如果在存储过程中这样使用它:

EXEC ('select CONVERT(datetime, @Year+''-''+@Month+''-''+@Day+'' ''+ @Time)')

你可能会遇到一个问题,不太可能,因为输入字符串的长度很短,但是谁知道一些黑客会想到什么来适应这个小空间。

如果该语句是一个存储过程,那么您无论如何也不会受到SQL注入的影响。

如果该语句是用一种语言生成的(例如,php),那么只需确保在执行过程中转义字符串(对于MySQL,用\'替换,对于MSSQL,用''替换),以避免注入攻击。