SQL放注入过滤规则探讨 - .NET技术 / ASP.NET
SQL防注入最有效的方法应该还是用@传参数或存储过程吧，不过有一些特殊应用场合，不得不用sql命令字符串拼接
问题如下：
string sql = "where username='" + username + "'"
请教大家，username这个变量，要如何过滤才能确保安全？
看过一些范例，过滤了大量关键词和符号，感觉似乎没有必要，
如果只过滤单引号，足够安全了吗？
参数化，其他的过滤特殊字符的都不是很安全
如果回复，请集中讨论过滤的规则，因为我的应用场合无法使用@参数化等其他手段，必须用拼接
开玩笑吧？你怎知任何程序的需求中的username中永远不能有单引号？
过滤单引号，exec等危险字符。限制传入字符串长度
无论何处使用一般传入的字符串都不会太长，如果二进制注入无须单引号，唯一安全的方式就是限制长度
楼上说话一针见处女血
相当精辟
为什么要写这样的SQL语句
` 存储过程难道不可以`
String.Format 难道不可以``
string sql = "where username='" + username + "'"
这种情况下最简单有效的方法是将一个'替换成''即OK。
username.Replace("'"
相关问答：
可能因为工作的原因 接触数据库这块比较少，之前都是做程序这块，数据库这块都有专门的人来做 分工都很明细 所以对数据库这一块完全不了解。前段时间 去面试了几家公司 几乎都是在数据库这块挂掉的 连个简单的SQ ......
我用asp.net开发wap站点，完成后去http://validator.w3.org/这里验证我的Wap页面是否标准，其它问题都改好了，
就剩这一个错误了，按字面意思理解是说name属性已存在，类似这样的错误还有不能用border ,align,size� ......
如何在SQL2005中设定定时作业，比如说定时清理某些表的数据，
或者是定时的将某些表的数据导出excel！
在线等待，急急急，最好是详细步骤！
之前我做的作业有点问题！
帮UP
参考:http://hi.baidu.com/toiota ......
就是一个按钮，点击之后打开对话框，然后选取图片。就这样上传。。
怎么实现。在网上搜到那么多的代码，全是很多的那种，不知道，看不下去。
所以在这里想请大哥大姐帮帮忙。
使用自带的fileupload控件可以实现 ......
通过NAME字段条件查询一个数据表，假设我有100个姓名，有以下两个方法，
方法1：
把100个Name 组成一个SQL语句，比如 Select * from tmp_table where Name='张三' or Name ='李四' Or ...Or Name='第一百个姓名'
......
