尽量不要拼凑Sql语句,用参数来防注入
如果是类似"select * from user where uid="+uid +" and pwd="+pwd 很容易出问题
使用 SQLParamenter
把你的SQL语句写成 类似存储过程
select * from user where uid=@uid and pwd=@pwd
使用这个SQL语句定义为 SQLCommand 对象 然后使用 Paramenter 对象把 @*** 替换为 值
就可以搞定注入式漏洞了
相关文档：
SQL截取字符串
SUBSTRING
返回字符、binary、text 或 image 表达式的一部分。有关可与该函数一起使用的有效Microsoft SQL Server 数据类型的更多信息，请参见数据类型。
语法
SUBSTRING ( expression & ......
标签：数据访问 ADO.NET
调用SQL存储过程 存储过程在一个单元中封装了复杂的SQL查询和数据过程，可以由多个程序或用户之间调用。
例：
......
一、内部函数
1、内部合计函数
1）COUNT（*） 返回行数
2）COUNT（DISTINCT COLNAME）返回指定列中唯一值的个数
3）SUM（COLNAME/EXPRESSION）返回指定列或表达式的数值和；
4）SUM（DISTINCT COLNAME） 返回指定列中唯一值的和
5）AVG（COLNAME/EXPRESSION）返回指定列或表达式中的数值平均值
6）AV ......
USE master
GO
CREATE DATABASE testbase2
ON
PRIMARY
(NAME = prim_sub_dat1,
FILENAME = 'G:\SQL SERVER2000\prim_sub_dat.mdf',
SIZE = 5MB,
MAXSIZE = 50MB,
FILEGROWTH = 20%),
(NAME = prim_sub_dat2,
FILENAME = 'G:\SQL SERVER2000\prim_sub_dat.ndf'
SIZE = 5MB,
MAXSIZE = 50MB,
......
对日常工作中用到的感觉有用的sql语句做个归纳，用于今后温故知新。
*复制表：
create table tablename as select * from table_src;
create table tablename as select * from table_src where 1 <> 1; --只复制表结构 ......
