防范sql注入攻击（下） 参数化sql
上一篇写的sql注入的基本原理，本来要接着写这篇的，但是由于时间的原因一直没有写成，今天是五一假期，总算是能抽空写写了。
作为一个程序员，防范sql注入的第一线是由我们来守护的，只要我们在程序中留少许的漏洞，就会给程序增强安全特性。所以我们要做的是要写安全的程序，防止sql注入在程序体现在不要拼接sql字符串，一定要参数化sql或者写存储过程，这里就说说简单的参数化sql吧。
例子中用c#和oracle实现，java中或者其他数据库中的实现也是类似的。
using System.Data.OracleClient;//引入oracle操作包
//定义DML语句
string strSQL = @"select user.name from user where user.name = :userName";
//上句中的：userName就是sql语句中参数的占位符，也就是说在数据库服务器中执行这条sql语句的时候这个占位符要被其他东西替换掉，到底用什么东西替换呢，接着往下看
OracleParameter[] param = {
new OracleParameter(":userName",txtName);
}//这里定义一个参数的数组，里面可以写入多个sql参数，咱们的这里只有一个，所以就写入一个参数，这里讲占位符和他的替换也就是参数值对应起来了，txtName就是占位符的替换值，他是用户界面中用户输入的值，就是他可能含有注入攻击的字符，这下数据库服务器知道用什么东西替换占位符了。
定义好sql语句和参数后就是执行了，执行的时候需要同时将sql语句和参数传入，这样用户输入的带有非法字符的字符串在数据库会当作参数处理，而不会当作sql语句和数据库自己的字符混乱，防止了注入攻击。
OracleCommand cmd = new OracleCommand();
cmd.CommandText = strSQL;//定义oracle命令的文本内容
for(oracleParameter p in param)//将参数传入
{
cmd.Parameters.Add(p);
}
cmd.ExecuteNonQuery(); //执行命令
上面基本上是一个完整的参数化sql，不同的数据库服务器sql语句中参数的占位符不同，上面用的是oracle，参数占位符是冒号（：）加名字，在sqlserver中是用@符号加名字作为占位符，而在mysql中用问号（？）加名字来作为参数占位符，不同的数据库中参数的表示符号不一样，这个需要注意。
相关文档：
SQL like子句的另一种实现方法,速度比like快(转)
一般来说使用模糊查询，大家都会想到LIKE
select * from table where a like '%字符%'
如果一个SQL语句中用多个 like模糊查询，并且记录条数很大，那速度一定会很慢。
下面两种方法也可实现模糊查询：
select * from table where patindex('%字符%',a)>0 ......
刚装完数据库就被人疯狂扫描sa，无比郁闷。
改sa名称，1433端口号，因为开发需要还必须打开远程连接，结果在客户端无论如何都不能连接上服务器。
狂汗请百度大神出马，把各种配置练了个熟，结果还是没解决。
搞笑的是最后无意中在Microsoft论坛上看到这么一句，修改完端口号，在客户端登录的时候要在IP后面＋逗号＋端口� ......
//tree.aspx.cs
using System;
using System.Data;
using System.Configuration;
using System.Collections;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using Syst ......
有的时候我们需要一次像数据库中添加多条记录，我们可以使用下面的语句来实现：
--添加一条记录
INSERT INTO tableName(col1,col2,col3) VALUES (1,2,3)
--添加多条记录
INSERT INTO tableName(col1,col2,col3)
SELECT 3,4,5
UNION ALL
SELECT 6,7,8
--从另外的一张表中读取多条数据添加到新表中
INSERT INTO tabl ......
同步一下我baidu的blog：http://hi.baidu.com/ncheng/blog/item/bc65f82a1a6a7c335343c11c.html
Sql注入是一种入门极低破坏极大的攻击方式。如果sql是用字符串拼接出来的话，那么肯定会被注入攻击，前段时间还传出了某国外大型社交网站被SQL注入攻击。
Sql注入攻击的方式，来这里看的同志们应该很清楚了，就是在拼接字符� ......
