PROD-MC-133 题解

组织者内部材料，含答案。比赛中不向选手展示。

答案：C

A：错误。无法排除恶意标识符及表达式。 B：错误。编码不构成SQL标识符白名单。 C：正确。列名通常不能作为普通值参数绑定，应映射白名单；编码、长度或去空格不能防关键字与表达式注入。 D：错误。短输入也可能非法。

选项

• A. 只去掉空格
  • 错误。无法排除恶意标识符及表达式。
• B. URL编码后直接拼接字段名
  • 错误。编码不构成SQL标识符白名单。
• C. 映射到服务端白名单列并参数化其他值
  • 正确。列名通常不能作为普通值参数绑定，应映射白名单；编码、长度或去空格不能防关键字与表达式注入。
• D. 仅限制输入不超过10字
  • 错误。短输入也可能非法。

依据：题面口径与本工种考试大纲

审题备注：本题为同题族的独立应用情境；需专家复核业务边界、答案唯一性和干扰项。组卷仍限制每题族最多1题。