SQL 注入
SQL注入就不用介绍了，网上很多。下面介绍一下防止
SQL注入的方法。
使用
quotename 函数和
sp_executesql
参考如
下表结构：这是一个文档表里面有一些简单的字段信息
CREATE
TABLE
[dbo]
.
[DocumentInfo]
(
[ID]
[int]
IDENTITY
(
1,
1) primary key
NOT
NULL,--
主键
[Name]
[varchar]
(
100)
NOT
NULL,--
文档名字
[FunctionID]
[int]
NOT
NULL
，
--
功能
ID
外键
[TypeInfo]
[nvarchar]
(
2000)
NULL—
描述信息
）
我们可能会按，主键
ID，文档的名字，功能
id，
描述信息进行查询
，这个一看就是拼接
sql语句，如果不用上面的方法很可能造成
sql注入
例如你写的存储过程可能如下：
CREATE
proc
[dbo]
.
[Doc_search]
(
@ID
int
,
@name
varchar
(
10),
@FID
int
,
@Info
nvarchar
(
20)
)
as
begin
declare
@sql
varchar
(
300)
set
@sql
=
'select * from
[DocumentInfo] where 1=1'
if
@ID
<>-
1
set
@sql
=
@sql
+
' and ID='
+
CAST
(
@ID
as
varchar
)
if
@name
<>
''
set
@sql
=
@sql
+
' and name='''
+
CAST
(
@name
as
varchar
)
+
''''
if
@FID
<>-
1
set
@sql
=
@sql
+
' and
[FunctionID]='
+
CAST
(
@FID
as
varchar
)
if
@Info
<>
''
set
@sql
=
@sql
+
' and [TypeInfo] like ''%'
+
CAST
(
@Info
as
varchar
)+
'%'''
print
@sql
end
exec
(
@sql
)
虽然你用了带参数的存储过程
，但本质上还是拼接字符串，没有有效的防治
sql注入。现在
分别用
quotename()函数和
sp_executesql。
Quotename()函数不知道用的请自行查找，
sp_executesql的用法
见上一篇动态
sql
Quotename改进如下：
alter
proc
[dbo]
.
[Doc_search]
(
@ID
int
,
@name
varchar
(
10),
@FID
int
,
@Info
nvarchar
(
20)
)
as
begin
declare
@sql
varchar
(
300)
set
@sql
=
'select * from
[DocumentInfo] where 1=1'
if
@ID
<>-
1
set
@sql
=
@sql
+
' and ID='
+
CAST
(
@ID
as
varchar
)
相关文档：
以下是摘自Oracle官网:
Ⅰ Oracle SQL Developer 是一个免费的图形化数据库开发工具。使用 SQL Developer，您可以浏览数据库对象、运行 SQL 语句和 SQL 脚本，并且还可以编辑和调试 PL/SQL 语句。您还可以运行所提供的任何数量的报表，以及创建和保存您自己的报表。SQL Developer 可以提高工作效率并简化数据库开发任务。 ......
避免使用IN 操作符
用IN写出来的SQL的优点是比较容易写及清晰易懂，这比较适合现代软件开发的风格。
但是用IN的SQL性能总是比较低的，从ORACLE执行的步骤来分析用IN的SQL与不用IN的SQL有以下区别：
ORACLE试图将其转换成多个表的连接，如果转换不成功则先执行IN里面的子查询，再查询外层的表记� ......
使用LINQ to SQL建模Northwind数据库
在这之前一起学过LINQ to SQL设计器的使用，下面就使用如下的数据模型：
当使用LINQ to
SQL设计器设计以上定义的五个类（Product，Category，Customer，Order和OrderDetail）的时候，每个类中的属性
都映射了相应数据库中表的列，每个类的实例则代表了数据库表中的一条记录。另外， ......
SQL语句级别的优化是我们实际工作中接触最多的，几乎所有的数据库应用说到底都是SQL语句的具体执行，因此如何对SQL脚本本身进行优化，提高执行效率就显得尤为重要。以下是一些通用的设计原则。
(1)使用select语句查询时，尽量不要使用select * 语句，而是应该指明具体要查询的字段，提取的字段数量越� ......
