Android Studio Sqlinjection可以用手势吗？

Question

我使用SQLite数据库实现了一个应用程序，数据存储在后台，没有任何用户交互。唯一需要使用的地方是用手势删除数据的时候，这就是我的问题。是否可以通过手势进行SQL注入，如果可以，我如何防止它？

Answer 1

如果用户没有输入文本，那么SQL注入是非常不可能的。

但是，如果您完全使用方便的方法，或者使用带有第二个参数的rawQuery execSQL，通过第二个参数传递任何值，那么这些值将被绑定，以防止SQL注入。

• 这假设您正在按照SDK使用标准的SQLiteDatabase。

插入行的示例

这个示例使用execSQL (两种形式)和插入方便方法来演示使用绑定参数的原则，在第一个示例中演示不使用绑定参数的原则。

theSQLitedatabase.execSQL("INSERT INTO mytable VALUES('" + userdata + "')"); //<<<<<< potential for injection

theSQLitedatabase.execSQL("INSERT INTO mytable VALUES(?)",new String[]{userdata}); //<<<<< protects as value is bound by SQLite itself

/* Uses the convenience method that builds the SQL (as per 2nd example) and protects */
ContentValues cv = new Contentvalues();
cv.put(the_column_name_as_a_string,userdata);
theSQLitedatabase.insert("mytable",null,cv);