① sqlite3 执行 sql 语句的占位符
使用 execute 方法执行一条SQL语句，如果带有参数可以使用占位符来传递参数。使用占位符已经考虑到转码的问题，不需要自己单独处理。不用去姿弊管 SQL 注入的问题。不过占位符只是针对value，不能用于设置表名，字段等。
SQLite3支持两种占位符： 问号占位符 和启枝 命名占位符 。
采用问号作为占位符，参悄册敏数为元组形式。例如：
采用冒号加 key 的形式作为占位符，参数为字典形式。例如：
一般来话，第一种方式比较方便，也比较常见。但是如果在执行sql语句需要同一个参数多次使用时，采用第二种方式就比较合适
② php如何防止sql注入
PHP防止sql注入是一个比较低级的问题了，这个问题其实在我大一上学期做第一个个人博客的时候就已经关注过了，不过简单的说一下关于PHP防注入的方式吧。
对于现在的防注入技术其实已经成熟了，对于一个站点该关心的不是防注入了，而是大规模高并发如何处理的问题，或者关于各种其他漏洞，比如现在世界上仍然有百分之80使用redis的站点存在redis漏洞，通过redis漏洞可以直接拿到机器的访问权限，一般来说都是直接给你种一个挖矿机器人来。
③ 为什么占位符可以防止sql注入
先看下面用占位符来查询的一句话
String sql = "select * from administrator where adminname=?";
psm = con.prepareStatement(sql);
String s_name ="zhangsan' or '1'='1";
psm.setString(1, s_name);
假设数据库表中并没有zhangsan这个用户名，
用plsql运行sql语句，可以查出来所有的用户名，但是在Java中并没有查出任何数据，这是为什么呢？
首先，setString()的源码中只有方法名字，并没有任何过程性处理，
那么答案肯定出现在Java到数据库这个过程中，也就是mysql和oracle驱动包中，在mysql驱动包中，PreparedStatement继承并实现了jdk中的setString方法，
也就是原因在于数据库厂商帮你解决了这个问题
④ java防止sql注入有哪些方法
前台我们可以通过过滤用户输入，后台可以通过PreparedStatement来代替Statement来执行SQL语句。
⑤ SQL语句模糊查询能用占位符么
SQL一定要改，调用可以不改：
不改调用改SQL：
("SELECT * FROM Customer WHERE Name like '%'|| @Name ||'%'"
改调用同时改SQL：
SQL：SELECT * FROM Customer WHERE Name like @Name"
new SqlParameter("@Name", '%'+name+'%')
字符串连接符我随便写的，根据数据库类型改即可。
⑥ SQL在JSP中占位符的使用方法！~
?是个占位符这个地方是可以被替换的。
dbc.setBytes(1,password.getBytes("GB2312")); 替换第一个问号
dbc.setBytes(2,userName.getBytes("GB2312")); 替换第二个问号
sql语句也可以这样写，如下：
String strSQL ="UPDATE user SET UserPassword = '" + password + "'" + " WHERE UserName = '" + "userName" + "'";