mysql - 僅僅只是把單引號與反斜杠轉義不用prepare statement能否避免sql注入？

問題描述

比如我輸入登錄名login_name 為 ’ 就拼出這種sql：

SELECT * FROM account WHERE (1) AND (`account`.login_name = ’’’)

輸入登錄名login_name 為 ’ or 1 = 1 就拼出這種sql：

SELECT * FROM account WHERE (1) AND (`account`.login_name = ’’ or 1 = 1’)

這樣能否避免sql注入？

問題解答

不行吧，假設login_name為’ or 1 = 1，轉義后的結果是什么？