防止SQL注入攻击的注意事项
防止SQL注入攻击的注意事项
一. SQL Injection及其防范的基本知识
可能大家都知道，SQL注入主要是利用字符型参数输入的检查漏洞。
比如说，程序中有这样的查询：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName + "'";
其中的userName参数是从用户界面上输入的。
如果是正常的输入，比如“Peter”，SQL语句会串接成：
"SELECT * from SiteUsers WHERE UserName='Peter'";
如果攻击者输入的是下面的字符串：
"xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx"
此时SQL语句会变成下面这个样子：
"SELECT * from SiteUsers WHERE UserName='xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx'";
其结果，得到执行的是两个SQL语句，第二个语句的后果就比较严重了。
防止注入的方法其实很简单，只要把用户输入的单引号变成双份就行了：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName.Replace("'","''") + "'";
这样，如果输入的是上面那种恶意参数，整个SQL语句会变成：
"SELECT * from SiteUsers WHERE UserName='<STRONG>xxx''; DROP TABLE SiteUsers WHERE 1=1 or UserName=''xxx</STRONG>'";
被执行的还是一个SQL语句，整个粗体部分都成为参数值。
一般的做法，是在程序中统一调用下面这样的共通函数，对参数进行处理：
private string SafeSqlLiteral(string inputSQL)
{
return inputSQL.Replace("'", "''");
}
由于很多人会疏忽这种单引号替换，所以真正安全的做法是使用参数化查询。
二. 参数化查询
在ADO.NET中，提供了一种参数化查询方法，可以替代上面这种拼接SQL语句的做法。
参数化查询的具体实现是：
（1）组织一个夹带参数名的SQL语句，作为SqlCommand的CommandText。
（2）使用Parameters.Add方法设置参数值。
（3）执行SqlCommand。（这个步骤跟上面那种拼接SQL的办法是一样的。）
下面是一个例子：
string sql = "SELECT T2.dep_code, T2.dep_name from DEP ";
sql += " WHERE T2.dep_name like ('%'+ <STRONG>@Param</STRONG> + '%') ";
SqlCommand sqlCommand = new SqlCommand(sql,cn);
sqlCommand.Parameters.Add(new SqlParameter("Param",s);
其中的@Param就是参数名，s则是用户输入的查询条件字串。
（顺�
相关文档：
select name as 库名 from master..sysdatabases where dbid>=7 获得数据库名称
select * from sysobjects where xtype='u' or xtype='v' 查询数据库里所有表的sql语句！
select name from sysobjects where type='u' 查询一个� ......
导出:
1.执行
select 语句查询出需要导出的数据.
2.在数据列表中右键,选择save
results.保存为.csv文件,然后已excel方式打开就OK了.可以另存为xsl。需要注意的是如果列内容是纯数字
的话，导出时会自动把前面的0去掉，想要导出完整的列内容，最好这列的内容拼一个字符如：select ‘#’||Column from ......
三步走。
<1>建立数据源
打开控制面板—>管理工具—>数据源 (ODBC)，或直接运行odbccp32.cpl命令。打开ODBC数据源管理器。添加一个系统数据源。选择Sql Server作为数据源的驱动程序，键入数据源名称demo，选择合适的sql server服务器，然后一路默认下去。（在后面的步骤中可以选择需要进行反向工程 ......
1 TOP
这是一个大家经常问到的问题，例如在SQLSERVER中可以使用如下语句来取得记录集中的前十条记录：
SELECT TOP 10 * from [index] ORDER BY indexid DESC;
但是这条SQL语句在SQLite中是无法执行的，应该改为：
SELECT * from [index] ORDER BY indexid DESC limit 0,10;
其中limit 0,10表示从第0条记录开始，往后 ......
清理SQL Server 2008数据库日志
收藏
第一步, 在收缩前先查看日志的大小:
SELECT
*
from
sysfiles
WHERE
name
LIKE
'
%
LOG
%'
GO
第二步, 把数据库的恢复模式设成”简单”:
ALTER
DATABASE
库名
SET
......
