尽量不要拼凑Sql语句,用参数来防注入
如果是类似"select * from user where uid="+uid +" and pwd="+pwd 很容易出问题
使用 SQLParamenter
把你的SQL语句写成 类似存储过程
select * from user where uid=@uid and pwd=@pwd
使用这个SQL语句定义为 SQLCommand 对象 然后使用 Paramenter 对象把 @*** 替换为 值
就可以搞定注入式漏洞了
相关文档：
系统环境：Windows 7
软件环境：Visual C++ 2008 SP1 +SQL Server 2005
本次目的：编写一个航空管理系统
这是数据库课程设计的成果，虽然成绩不佳，但是作为我用VC++ 以来编写的最大程序还是传到网上，以供参考。用VC++ 做数据库设计并不容易，但也不是不可能。以下是我的程序界面，后面 ......
标签：数据访问 ADO.NET
直接执行SQL命令 执行面向集合的操作（ ......
标签：数据访问 ADO.NET
调用SQL存储过程 存储过程在一个单元中封装了复杂的SQL查询和数据过程，可以由多个程序或用户之间调用。
例：
......
数学函数
1.绝对值
S:select abs(-1) value
O:select abs(-1) value from dual
2.取整(大)
S:select ceiling(-1.001) value
O:select ceil(-1.001) value from dual
3.取整（小）
S:select floor(-1.001) value
O:select floor(-1.001) value from dual
4.取整（截取）
S:select cast(-1.002 as in ......
下面的这些脚本都可以找到引起磁盘排序的SQL。
SELECT /*+ rule */ DISTINCT a.SID, a.process, a.serial#,
TO_CHAR (a.logon_time, 'YYYYMMDD HH24:MI:SS') LOGON, a.osuser,TABLESPACE, b.sql_text
from v$session a, v$sql b, v$sort_usage c
WHERE a.sql_address = b.address AND a.saddr = c.session_addr;
......
