⑴ sql注入截掉单引号'就没办法了吗
SQL注入成功机抄率和选择注袭入目标程序安全性有直接关系.单就你的问题和你的思路来说的话,你还可尝试利用 ANSI 字符代码变体来达到目的 比如 " 号对应 chr(34) .
是否成功取决于他本身程序是否也做了过滤.
另:还有很多方法同样可以达到目的的.比如旁注、跨站、截取cookie 等
⑵ 怎么绕过这个SQL注入后面的单引号
绕过不执行不知道怎么写
但可以让where条件变成无意义的条件
arg="1' OR '1'='1";这样c='"+"1' OR '1'='1"+"'。执行时应该就变成了
select * from table where c='1' OR '1'='1' ，判内断条件无意义了，容即相当于 select * from table
这个网络上就有示例
⑶ 防sql注入到底应过滤哪些字符
一般来说，这样处理即可：
所有参数都当作字符串处理，用单引号括起来。另外就是要把字符串中的单引号替换掉。
⑷ sql注入 过滤字符
不需要这么复杂。
你建一个函数，如
function saferequest(str,type)
str为参数，type为类型(1为数字)
if type =1 then
saferequest = clng(request(str))
else
saferequest = replace(request(str),"'","''")
end if
end functioin
原理：专
如果为数字型，SQL语句是这样属的
select * from news where id = 1
我们只要判断参数是否为数字就行。
如果为字符型，语句类似
select * from news where news = 'ef'
如果str = ef'就会产生注入。但过涉单引号后，即无法闭合单引号，所以不会构成注入。在SQL语句中，两个单引号代替一个单引号字符。
用法：
原先的
id = request("id")
加了函数后
id = saferequest("id",1)
⑸ jfinal 怎么防止sql注入
数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原内
在显示的容时候对非法字符进行转义
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的<c:out>标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。
⑹ 过滤单引号后是否sql注入就无解了
也不能这样说，要过滤的内容很多，如注释 -- ，exec delete select update 基本的都要过滤，但这不是回治本的，答如果16进制攻击也会出问题。
最好的办法就是使用参数方式来处理SQL，绝不要拼字符
16进制：
http://www.cnblogs.com/liyongfisher/archive/2010/12/20/1911432.html
参数化处理：
http://www.cnblogs.com/lzrabbit/archive/2012/04/21/2460978.html
⑺ 对于防止SQL注入，似乎只需把用户输入的单引号转义为双引号就可以彻底解决这个问题了
那本来的双引号不就区分不出来了
⑻ SQL注入单引号
SqlParameter到数据库里单引号会被转义，所以才能有效版避免注入攻权击。http://msdn.microsoft.com/zh-cn/library/ms161953(v=SQL.105).aspx
⑼ sql注入过程中单引号和多个关键字被过滤怎么办
很高兴回答你的问题
SQL注入成功机率和选择注入目标程序安全性有直接关系回.单就你的问题和你的思答路来说的话,你还可尝试利用 ANSI 字符代码变体来达到目的 比如 " 号对应 chr(34) .
是否成功取决于他本身程序是否也做了过滤.
另:还有很多方法同样可以达到目的的.比如旁注、跨站、截取cookie 等
⑽ 大家畅所欲言，当jFinal遇到XSS和SQL注入怎么处理
数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原
在显示的时候对非法字符进行转义
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的<c:out>标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。
附：Javascript方法：
String.prototype.escapeHTML = function () {
return this.replace(/&/g, ‘&’).replace(/>/g, ‘>’).replace(/</g, ‘<’).replace(/”/g, ‘"’);
}
如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils
public class StringEscapeEditor extends PropertyEditorSupport {
private boolean escapeHTML;
private boolean escapeJavaScript;
private boolean escapeSQL;
public StringEscapeEditor() { super(); }
public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {
super();
this.escapeHTML = escapeHTML;
this.escapeJavaScript = escapeJavaScript;
this.escapeSQL = escapeSQL;
}
@Override
public void setAsText(String text) {
if (text == null) {
setValue(null);