如何防止SQL注入攻击
BS系统中，传统的注入攻击手段有很多。
最基本的，利用单引号攻击的，很容易解决，用类似于QuotedStr()（实际开发是其他语言，这里用DELPHI中的函数代替）的函数处理参数即可。
但实际应用中，不可避免会有一些应用需要直接传递参数，例如表名、查询条件、排序条件等等
对这些应用的注入攻击防不胜防。
我考虑了一个思路，供大家参考。
1 对所有网页传入的参数分三种。
a) 数字类型，用StrToInt函数处理。
b) 字符串类型，用QuotedStr函数处理。
c) 需要直接传递的参数，这是需要着重考虑的类型。
2 对所有数据库操作主要分五种，不允许程序直接执行SQL语句：
a) select 查询
b) update 更新
c) insert 新增
d) delete 删除
e) exec 执行存储过程
3 对于以上几种数据库操作的所有参数，例如select 操作中的 查询条件、排序条件等，都进行合法性校验：
a) 里面存在 "--" "/*" "*/" 的，都视为非法条件。
b) 将条件拆分为单词，如果存在以下单词：delete insert update exec execute create drop grant的，都视为非法条件。（正常的表名、字段名中不可能有上面这些关键字吧。）
c) 传入的查询条件，校验里面的括号，凡是右括号在左括号前面（不配对）的，都视为非法条件。
d) 传入的查询条件，前后加括号。
经过以上校验，应该基本可以保证参数是正常的参数，供大家参考。同时也希望大家能找出其中的漏洞，我可以进行改进^_^
相关文档：
index.jsp
<%@ page language="java" import="java.sql.*" import="java.lang.*" import="java.util.*" pageEncoding="GB2312"%>
<%
String path = request.getContextPath();
String basePath = request.getScheme()+"://"+request.getServerName()+":"+request.getServerPort()+path+"/";
%>
<%!
& ......
1 ，对于日期字段字段
access表示为：#1981-28-12#
SQLSERVER2000表示为：''1981-02-12''
2,SQL语句区别，select ,update 在对单表操作时都差不多，
但多表操作时update语句的区别ACCESS与SQLSERVER中的Update语句对比:
SQLSERVER中更新多表的Update语句:
Update Tab1
SET a.Name = b.Name
from Tab1 a,Tab2 b
Whe ......
如果你经常遇到下面的问题，你就要考虑使用SQL Server的模板来写规范的SQL语句了：
SQL初学者。
经常忘记常用的DML或是DDL SQL 语句。
在多人开发维护的SQL中，每个人都有自己的SQL习惯，没有一套统一的规范。
在SQL Server Management Studio中，已经给大家提供了很多常用的现成SQL规范模板。
SQL Server Management ......
第一步，在业务高峰期抓取样本数据（2个小时左右）。采用的工具是sqlserver自带的profiler，也叫事件探查器，如下图：
进入后，点击最左面的按钮，建立一个新的跟踪：
登录需要用DBO权限，所以可以用sa登录，也可以用windows集成验证方式（如果当前登录的就是sqlserver的话）
新建跟踪，一共有4个tab页进行� ......
---- 人们在使用SQL时往往会陷入一个误区，即太关注于所得的结果是否正确，而忽略
了不同的实现方法之间可能存在的性能差异，这种性能差异在大型的或是复杂的数据库
环境中（如联机事务处理OLTP或决策支持系统DSS）中表现得尤为明显。笔者在工作实践
中发现� ......
