从这一节开始呢，我们就要开始CLR的编程之旅了。在这之前，我先把本节中需要了解的两个新类SqlDataRecord和SqlMetaData，及五个新方法SqlContext.Pipe.SendResultsStart，SqlContext.Pipe.SendResultsRow，SqlContext.Pipe.SendResultsEnd，SqlContext.Pipe.Send和SqlContext.Pipe.ExecuteAndSend进行一下必要的说明，方便大家阅读后续的代码。
首先SqlDataRecord和SqlMetaData是数据集合和原数据的意思。可以简单的把SqlDataRecord理解成DataTable，把SqlMetaData理解成DataColumn。我们再向SqlDataRecord里面填充数据之前要先执行SqlContext.Pipe.SendResultStart()方法，告诉数据库下面开始填充数据，使用SqlContext.Pipe.SendResultRow方法来填充数据，填充结束后使用SqlContext.Pipe.SendResultEnd方法来结束填充。这些都是基本流程，没什么好解释的，只要照着去做就可以了。
SqlContext.Pipe.Send是向客户端发送一条结果，SqlContext.Pipe.ExecuteAndSend是执行一条语句。
下面我将用几个实际的简单例子来说明如何使用这几个方法。
1.使用SqlContext.Pipe.Send构建无参无返回值的存储过程
[Microsoft.SqlServer.Server.SqlProcedure]
public static void USP_Sa ......
In:等值连接，用来查找多表相同字段的记录
Not In:非等值连接，用来查找不存在的记录
Inner join:内连接，主要用来查找都符合条件的记录
Left join:左连接，主要用来查找左边有，右边没有的用空值表达
Right join:右连接，主要用来查找右边有，左边没有的用空值表达
Order By:升序 Asc 降序 Desc
Group By:分组排序 按字段分组(如按班级分),使用的都要有集合函数存在
Having :对分组条件进行判断,使用都要确保每个字段都要用集合函数
COMPUTE BY：子句使您得以用同一 SELECT 语句既查看明细行，又查看汇总行。可以计算子组的汇总值，也可以计算整个结果集的汇总值。
行聚合函数名称；例如，SUM、AVG、MIN、MAX 或 COUNT
insert into:主要把查询的语句插入到新表。
in的用法是where xx in ('aa','bb','cc')
相当于 where xx='aa' or xx='bb' or xx='cc'
SQL中IN与EXISTS的用法比较本文章更新于：07年10月31日 来源：本站 | 归类：SQLServer
作为子查询:
IN：
1、SELECT * from family WHERE id IN (SELECT [id] from p_info)
返回结果为所有id包含在p_info表中的Paples_Info结果集.
EXISTS：
2、SELECT * from family WHERE EXISTS (SELECT [id] from p_i ......
一、什么是SQL注入式攻击？
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。常见的SQL注入式攻击过程类如：
⑴ 某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。
⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令，或者直接用作存储过程的参数。下面是ASP.NET应用构造查询的一个例子：
System.Text.StringBuilder query = new System.Text.StringBuilder(
"SELECT * from Users WHERE login = '")
.Append(txtLogin.Text).Append("' AND password='")
.Append(txtPassword.Text).Append("'");
⑶ 攻击者在用户名字和密码输入框中输入"'或'1'='1"之类的内容。
⑷ 用户输入的内容提交给服务器之后，服务器运行上面的ASP.NET代码构造出查询用户的SQL命令，但由于攻击者输入的内容非常特殊，所以最后得到的SQL命令变成：SELECT * from Users WHERE ......
现在比较流行的SQL注入工具的工作方式是通过GET和POST来完成具体的注入。我们可以将注入时所用到的一切符号过滤掉。那么我们可以通过简单的判断语句来达到目的。我们先来过滤GET吧。
代码如下：
dim sql_injdata SQL_inj SQL_Get
SQL_injdata = "’|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
SQL_inj = split(SQL_Injdata,"|")
If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=JavaScript>alert(’请不要在参数中包含非法字符尝试注入！’);history.back(-1)</Script>"
Response.end
end if
next
Next
End If
这样我们通过简单的语句我们就把一些注入所必须的语句和符号过滤掉了。非常小巧灵便，只要插到像conn.asp这样类似被调用比较广泛的页面中。同样POST我们也可以通过如下代码过滤，我们可以将两段代码整和到一起。
我们来看看代码吧：
If Request. ......
现在比较流行的SQL注入工具的工作方式是通过GET和POST来完成具体的注入。我们可以将注入时所用到的一切符号过滤掉。那么我们可以通过简单的判断语句来达到目的。我们先来过滤GET吧。
代码如下：
dim sql_injdata SQL_inj SQL_Get
SQL_injdata = "’|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
SQL_inj = split(SQL_Injdata,"|")
If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=JavaScript>alert(’请不要在参数中包含非法字符尝试注入！’);history.back(-1)</Script>"
Response.end
end if
next
Next
End If
这样我们通过简单的语句我们就把一些注入所必须的语句和符号过滤掉了。非常小巧灵便，只要插到像conn.asp这样类似被调用比较广泛的页面中。同样POST我们也可以通过如下代码过滤，我们可以将两段代码整和到一起。
我们来看看代码吧：
If Request. ......
一、表的导入导出语句及时间字符串部分处理函数
导出数据库所有表的结构 mysqldump -uroot -proot db_name -d > d:/export_db.sql(结尾不用分号)
导出数据库某个表的结构 mysqldump -uroot -proot db_name table_name -d > d:/export_table.sql(结尾不用分号)
导入SQL文件 source e:/test.sql;
清空表 truncate table table_name;
利用正则删除全英文的记录 delete from table_name where (select name REGEXP '^[-&(),.a-zA-Z_;[:blank:] ]+$')=1
当前时间加4小时 select date_add(now(), interval 4 hour); ......
一、表的导入导出语句及时间字符串部分处理函数
导出数据库所有表的结构 mysqldump -uroot -proot db_name -d > d:/export_db.sql(结尾不用分号)
导出数据库某个表的结构 mysqldump -uroot -proot db_name table_name -d > d:/export_table.sql(结尾不用分号)
导入SQL文件 source e:/test.sql;
清空表 truncate table table_name;
利用正则删除全英文的记录 delete from table_name where (select name REGEXP '^[-&(),.a-zA-Z_;[:blank:] ]+$')=1
当前时间加4小时 select date_add(now(), interval 4 hour); ......
SQL 命令
这部分包含那些 PostgreSQL 支持的 SQL 命令的信息．这里的 "SQL" 就是该语言通常的含义； 每条命令的与标准有关的兼容性的信息可以在相关的参考页中找到．
Table of Contents
ABORT -- 退出当前事务
ALTER GROUP -- 向组中增加用户或从组中删除用户
ALTER USER -- 改变数据库用户帐号．
ANALYZE -- 收集与数据库有关的统计
BEGIN -- 开始一个事务块
CHECKPOINT -- 强制一个事务日志检查点
CLOSE -- 关闭一个游标
CLUSTER -- 根据一个索引对某个表集簇
COMMENT -- 定义或者改变一个对象的评注
COMMIT -- 提交当前事务
COPY -- 在表和文件之间拷贝数据
CREATE AGGREGATE -- 定义一个新的聚集函数
CREATE CONSTRAINT TRIGGER -- 定义一个新的约束触发器
CREATE DATABASE -- 创建新数据库
CREATE FUNCTION -- 定义一个新函数
CREATE GROUP -- 定义一个新的用户组
CREATE INDEX -- 定义一个新索引
CREATE LANGUAGE -- 定义一种新的过程语言
CREATE OPERATOR -- 定义一个新的操作符
CREATE RULE -- 定义� ......
最新文章 : sql