动态sql语句基本语法
1 :普通SQL语句可以用Exec执行
例: Select * from tableName
Exec('select * from tableName')
Exec sp_executesql N'select * from tableName' -- 请注意字符串前一定要加N
2:字段名，表名，数据库名之类作为变量时，必须用动态SQL
错误: declare @fname varchar(20)
set @fname = 'FiledName'
Select @fname from tableName -- 错误,不会提示错误，但结果为固定值FiledName,并非所要。
正确: Exec('select ' + @fname + ' from tableName') -- 请注意加号前后的单引号的边上加空格
当然将字符串改成变量的形式也可
declare @fname varchar(20)
set @fname = 'FiledName' --设置字段名
declare @s varchar(1000)
set @s = 'select ' + @fname + ' from tableName'
Exec(@s) -- 成功
相关文档：
http://www.umgr.com/blog/PostView.aspx?bpId=36294
1. 执行sql语句
int sqlite3_exec(sqlite3*， const char *sql， sqlite3_callbacksql 语法
， void *， char **errmsg );
这就是执行一条 sql 语句的函数。
第1个参数不再说了，是前面open函数得到的指针。说了是关键数据结构。
第2个参数const char ......
注：高危！
有时候，开发人员在应用服务器上，能拿到数据库的帐号和密码
如果想让DBA死掉，太简单了（哈哈哈～～，有人在奸笑～～！）
所以DBA啊，得处处小心。。
（有人说话了：你傻X吧，应用程序服务器怎么能让开发人员随便上？！）
嘿，就是上了，你DBA能咋样？
如果技术上使数据库帐号只能从某个机器（或某个IP地 ......
sql注入防止的方式：
1.最根本的办法就是使用预编译的方式进行数据库操作。即时使用？的方式。
2.使用过滤类。
防止跨站脚本的方式：
1.在数据录入阶段进行过滤，但是这种方式会是丢失一些数据。
2. 在数据展示阶段。使用标签包含，innerhtml 的方式。 ......
Table-Naming Standards
Table-naming standards, as well as any standard within a business, are critical to
maintaining control. After studying the tables and data in the previous sections, you
probably noticed that each table’s suffix is _TBL. This is a naming standard selected
for use, suc ......
一、数据库设计方面
1、字段类型。
varchar(max)\nvarchar(max)类型的引入大大的提高了编程的效率，可以使用字符串函数对CLOB类型进行操作，这是一个亮点。但是这就引发了对varchar和char效率讨论的老问题。到底如何分配varchar的数据，是否会出现大规模的碎片？是否碎片会引发效率问题？这都是需要进一步探讨的东西。
v ......
