Ist dieser Code anfällig für SQL-Injection-Angriffe?

Question

sql= "SELECT * FROM BOOK WHERE pubName = '" & myPubName & "'" 

myPubName ist bereits gekapselt.

Answer 1

Ja. Wenn Sie die Variable "myPubName" als Benutzereingabe verwenden und sie nicht ordnungsgemäß überprüfen.

Um SQL jemand braucht, wie dies als den Wert von "myPubName" Variable " 'sometext' oder 1 = 1" zu injizieren schreiben

Dann wird die Abfrage wie

SELECT * FROM BOOK WHERE Pubname aussehen = 'sometext' oder 1 = 1

Das wird im Grunde alle Zeilen aus Buch-Tabelle zurückgeben.