防范SQL注入式攻击
SQL注入式攻击是利用是指利用设计上的漏洞，在目标服务器上运行Sql命令以及进行其他方式的攻击动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因。
比如：
如果你的查询语句是select * from admin where username="&user&" and password="&pwd&""
那么，如果我的用户名是：1 or 1=1
那么，你的查询语句将会变成：
select * from admin where username=1 or 1=1 and password="&pwd&""
这样你的查询语句就通过了，从而就可以进入你的管理界面。
所以防范的时候需要对用户的输入进行检查。特别式一些特殊字符，比如单引号，双引号，分号，逗号，冒号，连接号等进行转换或者过滤。
（除了上面的方式外还可以通过存储过程来防范SQL注入攻击）
需要过滤的特殊字符及字符串有：
net user
xp_cmdshell
/add
exec master.dbo.xp_cmdshell
net localgroup administrators
select
count
Asc
char
mid
:
"
insert
delete from
drop table
update
truncate
from
%
下面关于解决注入式攻击的防范代码，供大家学习参考！
js版的防范SQL注入式攻击代码：
<script language="javascript">
<!--
var url = location.search;
var re=/^\?(.*)(select%20|insert%20|delete%20from%20|count\(|drop%20table|update%20truncate%20|asc\(|mid\(|char\(|xp_cmdshell|exec%20master|net%20localgroup%20administrators|\"|:|net%20user|\|%20or%20)(.*)$/gi;
var e = re.test(url);
if(e) {
alert("地址中含有非法字符～");
location.href="error.asp";
}
//-->
<script>
asp版的防范SQL注入式攻击代码～：
[CODE START]
<%
On Error Resume Next
Dim strTemp
If LCase(Request.ServerVariables("HTTPS")) = "off" Then
strTemp = "http://"
Else
strTemp = "https://"
End If
strTemp = strTemp & Request.ServerVariables("SERVER_NAME")
If Request.ServerVariables("SERVER_PORT") <> 80 Then strTemp = strTemp & ":" & Request.ServerVariables("SERVER_PORT")
strTemp = strTemp & Request.ServerVariables("
相关文档：
用SQL生成流水号
转：韦江涛 发表于2010年02月03日 09:38 阅读(4) 评论(0)
if exists (select * from dbo.sysobjects where id = object_id(N'[dbo].[fn_FillNumberWithZero]') and xtype in (N'FN', N'IF', N'TF'))
drop function [dbo].[fn_FillNumberWithZero]
GO
if exists ( ......
SQL Server安装出错问题解决
先
把SQL Server卸载，再把安装时产生的“Microsoft SQL
Server”文件夹删掉,在运行注册表,把HKEY_CURRENT_USER\\Software\\Microsoft\\Microsoft
SQL Server，和HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Microsoft SQL
Server全部删掉，(注意要把Microsoft SQL Server文件夹� ......
虽然说我们尽量在写程序的时候控制插入到数据库的数据，而不要用数据库去判断数据的对错，但是有时候为了方便还是需要数据库自身的容错能力来帮助我们达到目的的。举例说明：
创建如下数据表
CREATE TABLE `book` (
`id` int(11) default NULL,
`num` int(11) unsigned default NULL
) ENGINE=InnoDB DE ......
今天找到了取mysql表和字段注释的语句
取字段注释
SELECT COLUMN_NAME 列名, DATA_TYPE 字段类型, COLUMN_COMMENT 字段注释
from INFORMATION_SCHEMA.COLUMNS
WHERE table_name = 'companies'##表名
AND table_schema = 'testhuicard'##数据库名
AND column_name LIKE 'c_name'##字段名
--------------------------- ......
触发器实际上就是一种特殊类型的存储过程，其特殊性表现在：它是在执行特定的T-SQL 自动相加的。
触发器分为两类：
&nbs ......
