是sqlite3_bind_text足以防止由於語句iPhone

Question

SQL注入：

const char *sql = "INSERT INTO FooTable (barStr) VALUES (?)"; 

是以下使用的sqlite3_bind_text（及相關sqlite3_bind_*功能）足以防止SQL注入攻擊？

sqlite3 *db; 
sqlite3_stmt *dbps; 

int dbrc = sqlite3_open([dbFilePath UTF8String], &db); 
if (dbrc) { 
    // handle error 
    return; 
} 

dbrc = sqlite3_prepare_v2 (db, sql, -1, &dbps, NULL); 

sqlite3_bind_text(dbps, 1, [userContent UTF8String], -1, SQLITE_TRANSIENT); 

dbrc = sqlite3_step(dbps); 
if (SQLITE_DONE != dbrc) { 
    // handle error 
} 

sqlite3_finalize (dbps); 
sqlite3_close(db); 

Answer 1

是的，如果你只通過用戶提供的數據，以sqlite3_bind_ *功能，那麼你是安全的SQL注入攻擊（這些攻擊假設你動態地構建您的查詢字符串，不報價/逃脫用戶正確提供的數據）。