Почему нет 100% защиты от SQL-injection?

[awua]

Ведь, есть же автоподстановка backslash'ей перед каждым символом, который может использоваться в инъекции. Почему это не является панацеей?

[sash-kan]

Почему нет 100% защиты от SQL-injection?

наверно потому, что нет стопроцентной защиты от дурака, пишущего код, передающий интерпретатору команды, полученные от пользователей программы·

[serzh-z]

Чем биндинг параметров не 100-процентная защита?

[Doublespace]

Ведь, есть же автоподстановка backslash'ей перед каждым символом, который может использоваться в инъекции. Почему это не является панацеей?

Если вы про ту автоподстановку, что настраивается на серваке- спецы писали, что она чуть ли не больше гемора создает, чем решает

[serzh-z]

Если вы про ту автоподстановку, что настраивается на серваке- спецы писали, что она чуть ли не больше гемора создает, чем решает

Не знаю, кто и что там писал. Подход с написанием запросов, содержащих внешние строковые литералы, уже лет так, кажется, 10 считается дурным тоном, по сравнению с http://en.wikipedia.org/wiki/Prepared_statement