① sqlite3 執行 sql 語句的佔位符
使用 execute 方法執行一條SQL語句，如果帶有參數可以使用佔位符來傳遞參數。使用佔位符已經考慮到轉碼的問題，不需要自己單獨處理。不用去姿弊管 SQL 注入的問題。不過佔位符只是針對value，不能用於設置表名，欄位等。
SQLite3支持兩種佔位符： 問號佔位符 和啟枝 命名佔位符 。
採用問號作為佔位符，參悄冊敏數為元組形式。例如：
採用冒號加 key 的形式作為佔位符，參數為字典形式。例如：
一般來話，第一種方式比較方便，也比較常見。但是如果在執行sql語句需要同一個參數多次使用時，採用第二種方式就比較合適
② php如何防止sql注入
PHP防止sql注入是一個比較低級的問題了，這個問題其實在我大一上學期做第一個個人博客的時候就已經關注過了，不過簡單的說一下關於PHP防注入的方式吧。
對於現在的防注入技術其實已經成熟了，對於一個站點該關心的不是防注入了，而是大規模高並發如何處理的問題，或者關於各種其他漏洞，比如現在世界上仍然有百分之80使用redis的站點存在redis漏洞，通過redis漏洞可以直接拿到機器的訪問許可權，一般來說都是直接給你種一個挖礦機器人來。
③ 為什麼佔位符可以防止sql注入
先看下面用佔位符來查詢的一句話
String sql = "select * from administrator where adminname=?";
psm = con.prepareStatement(sql);
String s_name ="zhangsan' or '1'='1";
psm.setString(1, s_name);
假設資料庫表中並沒有zhangsan這個用戶名，
用plsql運行sql語句，可以查出來所有的用戶名，但是在Java中並沒有查出任何數據，這是為什麼呢？
首先，setString()的源碼中只有方法名字，並沒有任何過程性處理，
那麼答案肯定出現在Java到資料庫這個過程中，也就是mysql和oracle驅動包中，在mysql驅動包中，PreparedStatement繼承並實現了jdk中的setString方法，
也就是原因在於資料庫廠商幫你解決了這個問題
④ java防止sql注入有哪些方法
前台我們可以通過過濾用戶輸入，後台可以通過PreparedStatement來代替Statement來執行SQL語句。
⑤ SQL語句模糊查詢能用佔位符么
SQL一定要改，調用可以不改：
不改調用改SQL：
("SELECT * FROM Customer WHERE Name like '%'|| @Name ||'%'"
改調用同時改SQL：
SQL：SELECT * FROM Customer WHERE Name like @Name"
new SqlParameter("@Name", '%'+name+'%')
字元串連接符我隨便寫的，根據資料庫類型改即可。
⑥ SQL在JSP中佔位符的使用方法！~
?是個佔位符這個地方是可以被替換的。
dbc.setBytes(1,password.getBytes("GB2312")); 替換第一個問號
dbc.setBytes(2,userName.getBytes("GB2312")); 替換第二個問號
sql語句也可以這樣寫，如下：
String strSQL ="UPDATE user SET UserPassword = '" + password + "'" + " WHERE UserName = '" + "userName" + "'";