字符串拼接的update操作的sql安全吗?

Question

update t_activity 
inner join t_common_flag on t_common_flag.id = t_activity.common_flag_id 
where t_common_flag.del_flag = 1 where id in ("+map.get("ids")+")

我从map里获取了一个ids的字符串,然后拼接到了sql里

这个sql安全吗?

Answer 1

不安全，需要使用参数化的sql