后端的查询是怎么保证不备sql注入的

[l0ady]

老师，如果后台是使用的关系数据库，查询的时候是动态拼接sql的吗？感谢

[aspirantzhang]

如果手写原生php代码进行拼接的话不太好处理，现在一般都是用框架。
而如今的框架在注入这块都做了一些特别设置。比如，数据库查询时会自动做参数绑定、全局的输入过滤（也就是对所有用户提交的数据进行过滤，至少删除掉一些危险标签）等。
课程中的后端使用的是框架提供的搜索器功能，传给它一个数组，它自己就去查好了。同时也使用了全局输入过滤，用多个函数过滤掉标签、把危险的单引号做转义等。

[l0ady]

感谢老师，我这边用的是mybatis, 我再看看有没有相关的功能。