問題タブ [mysql-escape-string]

https://github.com/mysqljs/mysql.gitライブラリを使用しています。

ファイルが多すぎるため、SQLクエリファイルを1つずつ変更して各引数をエスケープできないmysql dbクエリアーキテクチャがありますが、すべてのSQLクエリは同じベースmysqlインスタンスのクエリメソッドを呼び出すため、ベースのmysqlクエリメソッドで最終的なSQL文字列をエスケープできるかどうか疑問に思います.

のようにSQL文字列全体をエスケープしたい

に

mysql_escape("select * from tableA where name = 'foo'bar'")クエリの準備やエスケープ文字列の連結を使用してこれを行う代わりに、次のような関数を使用します。

フロントエンドでは、検索オプションを使用して製品とベンダー名のリストをユーザーに表示します。その製品リストには、フォワード {/} とバック スラッシュ「\」が含まれています。ユーザーが「/」または「\」のみを使用できる場合。機能していません。バックスラッシュ '\' の横にある二重引用符 {"} または単一引用符 {'} をエスケープします。データベースからデータを取得するために Ajax を使用します。このシナリオをどのように処理しますか?

ここでは、バックエンドに Laravel MySql を使用しています。

サイバーセキュリティに関するオンライン コースを受講しようとしていますが、SQL インジェクションを実行しようとしていることが問題の 1 つです。構文の問題とエスケープシーケンスのせいで、私はそれを理解できませんでした。

query() 関数のみを編集できます。このコードを実行すると、SQL ステートメントは何も返しません。最後に実行されたコマンドは次のとおりです。SELECT body FROM Tasks WHERE name='bob' and body LIKE '%sd UNION SELECT password FROM Users WHERE admin = 1%'

引用符と「%」が問題の原因であることに気付いた後、どうにかしてそれらを回避しようとしましたが、まだできていません。私はそれを回避するためにこれと他の多くの同様の組み合わせを試しましquery = "sd'' UNION SELECT password FROM Users WHERE admin = 1''"たが、成功しませんでした. 明確にするために、すべての列が存在します。なぜなら、ユニット テストを変更してコードを実行すると"SELECT body FROM Tasks WHERE name='bob' and body LIKE 'sd' UNION SELECT password FROM Users WHERE admin = 1"、パスワードを取得できますが、プリペアド ステートメント バージョンで'%%%s%%'は何らかの理由でテストに合格できないためです。SQLite python で % と一重引用符をエスケープできるようにするには、クエリをどのように記述すればよいですか?