尽量不要拼凑Sql语句,用参数来防注入
如果是类似"select * from user where uid="+uid +" and pwd="+pwd 很容易出问题
使用 SQLParamenter
把你的SQL语句写成 类似存储过程
select * from user where uid=@uid and pwd=@pwd
使用这个SQL语句定义为 SQLCommand 对象 然后使用 Paramenter 对象把 @*** 替换为 值
就可以搞定注入式漏洞了
相关文档：
SQL截取字符串
SUBSTRING
返回字符、binary、text 或 image 表达式的一部分。有关可与该函数一起使用的有效Microsoft SQL Server 数据类型的更多信息，请参见数据类型。
语法
SUBSTRING ( expression & ......
标签：数据访问 ADO.NET
DataAdapter 对象中的SQL命令 注：ADO.NET对象模型 和 C# 要比 SQL 更适合处理复杂运算 和 导航逻辑（比如，查找相关的另一个表的数据）
&# ......
标签：数据访问 ADO.NET
调用SQL存储过程 存储过程在一个单元中封装了复杂的SQL查询和数据过程，可以由多个程序或用户之间调用。
例：
......
（1） 选择最有效率的表名顺序(只在基于规则的优化器中有效)：
ORACLE 的解析器按照从右到左的顺序处理from子句中的表名，from子句中写在最后的表(基础表 driving table)将被最先处理，在from子句中包含多个表的情况下,你必须选择记录条数最少的表作为基础表。如果有3个以上的表连接查询, 那就需要选择交叉表(intersectio ......
数据层次的概念:
数据层次是表达数据的一种重要关系，在数据库的设计中，如：组织结构分解、工作任务分解、行政区划的分解等都是层次关系数据的典型实例。
表达层次关系的数据一般需要实现如下属性：
1.层次的最大级联层次数。如：中国－>湖南省->长沙市->雨花区，就是4层。
2.能反映同一� ......
