一直以来都以为只有空格，tab键和注释符/**/可以用来切割sql关键字，段时间
在邪八看了风迅cms注入漏洞那篇帖子，才知道原来回车也可以用来作为分割符（
以前竟然没有想到，真是失败）。回车的ascii码是chr(13)&chr(10)，至于为什
么要两个连在一起，这个我也不知道。转换成url编码形式是%0d%0a，于是就可以
用%0d%0a代替空格pass一些过滤空格的检查了。
引申一下，只用%0d能正常执行语句吗？只用%0a呢？测试证明，用任意一种分割
在mssql、mysql和access里面都是可以的。
另外，关于mssql的多语句问题。我以前一直以为必须用分号作为语句的结尾，后
来发现，完全不是那样。类似
Copy code
select * from table exec xp_cmdshell'xxxxxxxxxx'
select * from table/**/exec xp_cmdshell'xxxxxxxxxx'
select * from table|---tab---|exec xp_cmdshell'xxxxxxxxxx'
select * from table|---enter---|exec xp_cmdshell'xxxxxxxxxx'
的语句都是可以正常执行的。而我以前竟然一直不知道！不过这个貌似跟连接数
据库驱动有关系，odbc可以正常执行，sqloledb的话就会报错。有兴趣的继续研
究吧
这样，以后遇到带空格过滤关键字的拦截程序，又可以发挥� ......
SQL日期格式化
0 或 100 (*) 默认值 mon dd yyyy hh:miAM（或 PM）
1 101 美国 mm/dd/yyyy
2 102 ANSI yy.mm.dd
3 103 英国/法国 dd/mm/yy
4 104 德国 dd.mm.yy
5 105 意大利 dd-mm-yy
6 106 - dd mon yy
7 107 - mon dd, yy
8 108 - hh:mm:ss
-&nbs ......
--将系统datediff函数重写，主要把datepart类型改为varhcar，方便调用
--作者:敖士伟
--Date:2009-10-14 10:29
create function MyDateDiff(@datepart varchar(50), --日期间隔类型:year,month,day.etc
@date1 varchar(50), @date2 varchar(50))
returns int
as
begin
declare @part int
if @datepart='year'
begin
set @part=datediff(year,@date1,@date2)
end
if @datepart='month'
begin
set @part=datediff(month,@date1,@date2)
end
if @datepart='day'
begin
set @part=datediff(day,@date1,@date2)
end
if @datepart='week'
begin
set @part=datediff(week,@date1,@date2)
end
if @datepart='hour'
begin
set @part=datediff(hour,@date1,@date2)
end
if @datepart='minute'
begin
set @part=datediff(minute,@date1,@date2)
......
问题
如何创建一个T-SQL测试套件用于测试SQL存储过程。
设计
首无，通过插入大量测试平台数据准备好一个包含待测存储过程的底层数据库。接下来，使用一个SQL游标(cursor)遍历这个测试用例数据表。针对每个测试用例，调用待测存储过程并且取得它的返回值，把实际返回值与期望值进行比较，从而判定测试结果是通过与否，然后显示或保存测试结果。
方案
——testAuto.sql
——为dbEmployees填充数据
truncate table dbEmployees.dbo.tblEmployees
insert into dbEmployees.dbo.tblEmployees values('e11','Adams','15/10/2009')
insert into dbEmployees.dbo.tblEmployees values('e22','Baker','15/10/2009')
insert into dbEmployees.dbo.tblEmployees values('e33','Young','15/10/2009')
insert into dbEmployees.dbo.tblEmployees values('e44','Zetta','15/10/2009')
——此处插入更多数据
declare tCursor cursor fast_forward
for select caseID,input,expected
from dbTestCasesAndResults.dbo.tblTestCases
......
package com.itcast.service.base;
import java.util.LinkedHashMap;
import javax.persistence.Entity;
import javax.persistence.EntityManager;
import javax.persistence.PersistenceContext;
import javax.persistence.Query;
import org.springframework.transaction.annotation.Propagation;
import org.springframework.transaction.annotation.Transactional;
import com.itcast.util.QueryResult;
/**
* 针对所有实体bean的一个抽象类，所有的实体bean包括ProductType,Product等等
* @author lucky
*
*/
@Transactional
public abstract class DaoSupport implements DAO {
@PersistenceContext protected EntityManager em;
//调用下面的public <T> void delete(Class<T> entityClass,Object[] entityids方法
public <T> void delete(Class<T> entityClass,Object entityid) {
delete(entityClass,new Object[]{entityid});
}
public <T> void delete(Class<T> entityClass,Object[] entityids) {
for ......
有三张表 LP_COMPANY, LP_COMPANYTYPE,LP_APPLICATION
SQL语句是
SELECT b.appname,c.typename,a.ID, a.APPID, a.PROVID, a.CITY, a.DISTRICT, a.TYPEID, a.PARENTID,
a.COMNAME, a.CHARGER, a.LICENSE, a.OPENBANK, a.ACCOUNT, a.NATAXNO, a.LOTAXNO,
a.STATUS, a.MEMO, a.ADDDATE, a.ADDTIME, a.REMARK1, a.REMARK2, a.REMARK3, a.REMARK4
from LP_COMPANY a
left join lp_application b on a.appid=b.id left join lp_companytype c on a.typeid=c.id
另外需注意的是
项目所用框架是 struts2+spring2+ibatis2
故在company的bean和action中 加入两个属性typeName 和appName ......
最新文章 :