SQL数据格式化和SQL注入

SQL数据格式化问题可以通过使用预处理语句来解决。预处理语句可以将语句和数据分开处理，从而避免了SQL注入攻击。例如，在PHP中使用PDO预处理语句可以这样写：

$sql = 'SELECT * FROM users WHERE username = :username AND password = :password';
$stmt = $pdo->prepare($sql);
$stmt->execute([
    'username' => $username,
    'password' => $password,
]);

SQL注入问题可以通过使用参数化查询语句来解决。参数化查询语句可以将用户输入的数据作为参数传入，从而避免了SQL注入攻击。例如，在Java中使用PreparedStatement可以这样写：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = conn.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();