ASP.NET 中如何防范SQL注入式攻击
一、什么是SQL注入式攻击?
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表
单中，用户输入的内容直接用来构造(或者影响)动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。常见的SQL注入式攻
击过程类如：
⑴ 某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。
⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令，或者直接用作存储过程的参数。下面是ASP.NET应用构造查询的一个例子：
System.Text.StringBuilder query = new System.Text.StringBuilder("SELECT * from Users WHERE login = '")。
Append(txtLogin.Text)。Append("' AND password='")。
Append(txtPassword.Text)。Append("'");
⑶ 攻击者在用户名字和密码输入框中输入"'或'1'='1"之类的内容。
⑷ 用户输入的内容提交给服务器之后，服务器运行上面的ASP.NET代码构造出查询用户的SQL命令，但由于攻击者输入的内容非常特殊，所
以最后得到的SQL命令变
成：SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'.
⑸ 服务器执行查询或存储过程，将用户输入的身份信息和服务器中保存的身份信息进行对比。
⑹ 由于SQL命令实际上已被注入式攻击修改，已经不能真正验证用户身份，所以系统会错误地授权给攻击者。
如果攻击者知道应用会将表单中输入的内容直接用于验证身份的查询，他就会尝试输入某些特殊的SQL字符串篡改查询改变其原来的功能，欺骗系统
授予访问权限。
系统环境不同，攻击者可能造成的损害也不同，这主要由应用访问数据库的安全权限决定。如果用户的帐户具有管理员或其他比较高级的权限，攻击者
就可能对数据库的表执行各种他想要做的操作，包括添加、删除或更新数据，甚至可能直接删除表。
二、如何防范?
好在要防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内
容过滤一番就可以了。过滤输入�
相关文档：
1.ASP.NET运行原理概述
如上图，当一个http请求发送过来并被IIS机收到之后,IIS首先通过你请求的页面类型为其加载相应的dll文件，然后在处理过程中将这条请求发送给能够处理这条请求的模块,而在ASP.NET中这个模块就叫做HttpHandler,为什么aspx这样的文件可以被服务器处理,那是因为在服务器端有默认的HttpHandler专门� ......
1. In "MicroSoft SQL Server Management Studio", right click SQL Server instance, select "Properties", select "Security" in left panel and check "SQL Server and Windows Authentication mode" in right Panel.
2. In "SQL Server Configuration Manager", select "SQL Server Network Configuration > ......
外键
======================
外键是相对于主键说的，是建立表之间 的联系的必须的前提。
比如：学生表 、学生成绩表一一对应是因为 他们都具有相同的字段：学号，把学生表作为主表，学号是他的主键，相对于主表来说，学生成绩的字段 学号就是学生表的外键。
没有外键，两个表就没办法建立联系啊！ ......
页面中引入：
using System.Net;
using System.IO;
下面两个方法，结果都是一样，都可以下载网站上的图片；
private void Sava1()
{
string url = "http://192.234.86.15/Maplink//05/000/000/013/000/000/006.png";
WebRequest wreq = WebRequest.Create(url);
HttpWebResp ......
asp.net实现伪静态
一、伪静态的用处
有些用户
觉得，伪静态和真静态实际被收录量会相差很大，其实不然，从你个人角度，你
去判断一下一个帖子到底是真静态还是伪静态？估计很难看得出，因为所谓静态的意思，就是地址中不带问号，不带问号的就是静态，管他是真的还是伪的？搜索引
擎看得出吗？所以说，其实� ......
