day61

防sql注入

delimiter \\
CREATE PROCEDURE p4 (
       in tpl varchar(255),
       in arg int
)
BEGIN
       set @xo = arg;
       PREPARE xxx FROM 'select * from student where sid > ?';   #準備執行
       EXECUTE xxx USING @xo;#會將？替換 @xo
       DEALLOCATE prepare xxx; #xxx名字隨便取    #開始執行
END\\
delimiter ;
 

using後必須是區域性變數，"@"是:區域性變數宣告。

呼叫時：

call p7("select * from tb where id > ?",9);