探讨PHP SQL注入的解决思路
思路:SQL里尽可能的采用两个引号闭合变量;对变量中的引号转义;对不能采用2个引号闭合的变量,先预先判断变量类型;
方案:
1 所有非数值运算(如字符,简单数值型等等)的SQL变量都加引号;
2 所有非数值运算的SQL变量的值都采用magic_quotes_gpc或者addslashes转义;
3 对需要数值运算的变量和其他不能加引号的SQL(如IN语句),预先判断变量类型.
4 关闭php.ini的disply_error.(可选,如不能关闭,需自己手动让SQL语句不能执行报错)
php5摘录
预防措施
也许有人会自我安慰，说攻击者要知道数据库结构的信息才能实施上面的攻击。没错，确实如此。但没人能保证攻击者一定得不到这些信息，一但他们得到了，数据库有泄露的危险。如果你在用开放源代码的软件包来访问数据库，比如论坛程序，攻击者就很容得到到相关的代码。如果这些代码设计不良的话，风险就更大了。
这些攻击总是建立在发掘安全意识不强的代码上的。所以，永远不要信任外界输入的数据，特别是来自于客户端的，包括选择框、表单隐藏域和 cookie。就如上面的第一个例子那样，就算是正常的查询也有可能造成灾难。
永远不要使用超级用户或所有者帐号去连接数据库。要用权限被严格限制的帐号。
检查输入的数据是否具有所期望的数据格式。PHP 有很多可以用于检查输入的函数，从简单的变量函数和字符类型函数（比如 is_numeric()，ctype_digit()）到复杂的 Perl 兼容正则表达式函数都可以完成这个工作。
如果程序等待输入一个数字，可以考虑使用 is_numeric() 来检查，或者直接使用 settype() 来转换它的类型，也可以用 sprintf() 把它格式化为数字。
例 27-6. 一个实现分页更安全的方法
<?php
settype($offset, 'integer');
$query = "SELECT id, name from products ORDER BY name LIMIT 20 OFFSET $offset;";
// 请注意格式字符串中的 %d，如果用 %s 就毫无意义了
$query = sprintf("SELECT id, name from products ORDER BY name LIMIT 20 OFFSET %d;",
$offset);
?>
使用数据库特定的敏感字符转义函数（比如 mysql_escape_string() 和 sql_escape_string()）把用户提交上来的非数字数据进行转义。如果数据库没有专门的敏感字符转�
相关文档：
在进行数据库查询时，有完整查询和模糊查询之分。
一般模糊语句如下：
SELECT 字段 from 表 WHERE 某字段 Like 条件
其中关于条件，SQL提供了四种匹配模式：
1，%
：表示任意0个或多个字符。可匹配
任意类型和长度的字符，有些情况下若是中文，请使用两个百分号（%%）表示
。
比
如 SELECT * from [user] WHERE u_ ......
---用convert转换参数对比
select CONVERT(varchar, getdate(), 120 )
2004-09-12 11:06:08
select replace(replace(replace(CONVERT(varchar, getdate(), 120 ),'-',''),' ',''),':','')
20040912110608
select CONVERT(varchar(12) , getdate(), 111 )
2004/09/12
select CONVERT(varchar(12) , getdate(), 112 )
......
最近做了几个小型的项目，比较简单，只是需要细心，都可以完成，主要是对MVC模式的熟练应用，对WEB类开发还是很有帮助的。
刚开始的第一个小项目，用来练手，然后我全部是流程化的编程。代码也就400行左右。结果我的导师，觉得代码结构不清晰，不容易
维护，需要修改。需要我采用OO类的编程方式进行改写。我以前写PHP，几 ......
可扩展性改进 借助于新硬件设备对于企业版Windows Server 2008 R2的增强，SQL Server2008R2将能支持高达56个逻辑处理器和2TB内存。这些功能的增强将使得企业能处理更加巨大的负载量，并能增加可以统一到一个平台上的服务器，实例和数据库的数量。
整合工具
对于SQLServer2008� ......
后缀名为.mdf的sql数据库如何打开？
有.mdf和.ldf两个文件，打开方案：
方法一：在Sql server企业管理器中 - 数据库 - 右键 <附加数据库
方法二：在VS2005中先建立一个与你要打开的mdf文件同名的数据库，记住存储位置，然后用你要打开的mdf文件将刚建立的mdf数据库文件替换即可。 ......
