sql注入
首先我想谢谢园子的朋友们，是你们提醒我写内容有错误，记得曾经电子商务之数据存储流程（五）里面说到“选存储过程+传递参数用SqlParameter是因为，除非是ADO.NET有漏洞，那么就绝对不会发生SQL注入”。Keep Walking大哥也在关于防止sql注入的几种手段（二）中举出来一个例子说明我说的上句话是错误的。说实话当时我还是对SQL注入不是很了解，也没有遇到过SQL注入，也不是很关心它。但是我想安全的问题我们一定要非常注意，于是这些时候花了一些时间来学习了SQL注入。
什么是SQL注入
可能大家还不是对SQL注入这个概念不是很清楚，简单地说,SQL注入就是攻击者通过正常的WEB页面,把自己SQL代码传入到应用程序中,从而通过执行非程序员预期的SQL代码,达到窃取数据或破坏的目的。
当应用程序使用输入内容来构造动态SQL语句以访问数据库时，会发生SQL注入攻击。如果代码使用存储过程，而这些存储过程作为包含未筛选的用户输入的字符串来传递，也会发生SQL注入。SQL注入可能导致攻击者使用应用程序登陆在数据库中执行命令。如果应用程序使用特权过高的帐户连接到数据库，这种问题会变得很严重。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或者作为存储过程的输入参数，这些表单特别容易受到SQL注入的攻击。而许多网站程序在编写时，没有对用户输入的合法性进行判断或者程序中本身的变量处理不当，使应用程序存在安全隐患。这样，用户就可以提交一段数据库查询的代码，根据程序返回的结果，获得一些敏感的信息或者控制整个服务器，于是SQL注入就发生了。
一般SQL注入
在Web 应用程序的登录验证程序中,一般有用户名(username) 和密码(password) 两个参数,程序会通过用户所提交输入的用户名和密码来执行授权操作。我们有很多人喜欢将SQL语句拼接起来。例如：
Select * from users where username =’ txtusername.Text ’ and password =’ txtpassword.Text ’
其原理是通过查找users 表中的用户名(username) 和密码(password) 的结果来进行授权访问, 在txtusername.Text为mysql，txtpassword.Text为mary，那么SQL查询语句就为：
Select * from users where username =’ mysql ’ and password =’ mary ’
如果分别给txtusername.Text 和txtpassword.Text赋值’ or ‘1’ = ‘1’ --和ab
相关文档：
create PROC [dbo].[P_viewPage_A]
/*
高效通用分页存储过程(双向检索)
敬告：适用于单一主键或存在唯一值列的表或视图
ps:Sql语句为8000字节,调用时请注意传入参数及sql总长度不要超过指定范围
*/
@TableName VARCHAR(200), --表名
@FieldList VARCHAR(2000), --显示列� ......
★Asp.net如何连接SQL Server2000数据库★
大家好,以下是有关ASP.net连接SQL Server2000数据库的例程，
在这里和大家分享一下：
Asp.net连接SQL Server2000数据库例程详解:
<%@ Import Namespace="System.Data" %>
<%@ Import NameSp ......
使用SQL Server身份验证登录时报错：
无法连接到.\SQLEXPRESS.
Additional information:
用户'sa'登录失败。该用户与可信SQL Server 连接无关联。(microsoft SQL Server,Error:18452）)
------------------
下面是映射时报的错：
创建对于用户“sa”失败。（microsoft.sqlServer.express.smo）
Additional ......
ibatis作为一个轻量级的orm工具现在非常流行，我在使用中发现，有时仅仅希望返回一个类型为map的list就可以了，
比如简单的查询统计之类的，没有必要定义太多的pojo，因此想能不能在ibatis中直接传入sql语句来执行，然后返回map呢？
从网上搜了一下，还真有，实验成功后总结一下，大家共同进步。 其实很简单，就 ......
以string 类型的Name为例
在SQL 语句里： string sql="Name like'%" + Name.Text + "%';
在存储过程里：
if @Name!=''
begin
set @strWhere= +' and Name like '''+'%'+@Name+'%'+''''
end
存储过程中的引号是单引号.
like '''+'%'中间不用+认不 ......
