防止SQL注入
一、使用参数化输入。存储过程里尽量避免语句拼接。
二、对于一些数据库，必须设置权限，甚至设置到字段。
三、始终通过测试类型、长度、格式和范围来验证用户输入。
四、过滤敏感字符。
Function ReplaceStr(Str)
Str=Trim(Str)
Str=Replace(Str,"'","'")
Str=Replace(Str,";",";")
Str=Replace(Str," "," ")
Str=Replace(Str,"""","”")
Str=Replace(Str,"%","")
Str=Replace(Str,"__","")
Str=Replace(Str,"--","--")
Str=Replace(Str,"\","\")
Str=Replace(Str,"?","")
Str=Replace(Str,vbcrlf,"<br>")
Str=Replace(str,"0x0020","")
ReplaceStr=Str
End Function
相关文档：
讲解SQL Server中容易混淆的数据类型
(1)char、varchar、text和nchar、nvarchar、ntext
char和varchar的长度都在1到8000之间，它们的区别在于char是定长字符数据，而varchar是变长字符数据。所谓定长就是长度固定的，当输入的数据长度没有达到指定的长度时将自动以英文空格在其后面填充，使长度达到相应 ......
(1)关于存储过程返回值问题（output,ruturn）
output存储过程：
alter proc usp_update
@count int output
as
set @count=(select count(*) from stu)
return存储过程：
alter proc usp_update
as
declare @count int
set @count=(select count(*) from stu)
r ......
一、字符转换函数
1、ASCII()
返回字符表达式最左端字符的ASCII 码值。在ASCII（）函数中，纯数字的字符串可不用‘’括起来，但含其它字符的字符串必须用‘’括起来使用，否则会出错。
2、CHAR()
将ASCII 码转换为字符。如果没有输入0 ~ 255 之间的ASCII 码值，CHAR（） 返回NULL 。
3、LOWER()和 ......
函数：
XMLPARSE：解析字符或者大对象二进制数据，产生XML
XMLSERIALIZE：将XML值转换为字符或者大对象二进制数据
XMLVALIDATE：根据XML schema校验XML值的有效性
XMLEXISTS：检测XQuery是否返回结果（如由一个或多个项所组成的序列）
XMLQUERY：执行一个XQuery并以一个序列返回结果
XMLTABLE：执行一个XQuery，以关� ......
SQL函数之四舍五入（转自http://ln1058.javaeye.com/blog/191502）
问题1：
SELECT CAST('123.456' as decimal) 将会得到 123（小数点后面的将会被省略掉）。
如果希望得到小数点后面的两位。
则需要把上面的改为
SELECT CAST('123.456' as decimal(38, 2)) ===>123.46
自动四舍五入了� ......
