ORM是不是也会存在SQL注入漏洞？

Question

我看了几个简单的ORM，增删改查的语句都是字符串构造出来的，没有经过DbParameter来处理参数，我担心这样是不是会造成sql注入漏洞？

还是有其他隐情？

Answer 1

看你怎么用.就算是拼SQL语句,如果传进来的参数如果是你内部传的那么就没有问题.你说的ORM的.如果参数是从外部接受,确实有必要自己先进行处理.

Answer 2

直接拼接肯定有问题的啊，和orm没什么关系的啊