写了个万能action

xuanxiao325

哈哈，我直接写了个java,前台只需要传递一个字符串参数，而这个字符串就是sql语句！  这样的话我可以直接在js里面写sql语句，并将这个sql语句传递给后台！ 这样我所有的表的增删改查都可以用这个action了！     这样就可以偷懒了！ 不知道这样做有什么弊端？

liangyongfei

这样做，不安全的！很容易被黑客攻击的！
你上网搜下  ：   sql注入

别人访问你的请求！自己写sql语句，把你数据库的所有数据都拿到了！