关于防止SQL注入。结论贴。
不吵了。先自我批评，刚才我情绪很鸡动，我错了。我说我错了，是态度错了，我观点没错。
我直接总结了，前两个贴的是是非非，不说了。
前提，不用参数化，SQLServer数据库。
为什么这里举例不用参数化，因为参数化直接就防止SQL注入了。
为什么说SQLServer数据库，因为据说MYSQL里面这样还不够。但是ACCESS却是一样的。
为什么不提存储过程，因为没用，存储过程和拼接SQL一样，你用了参数化，就不会被注入，不用参数化，就会被注入。
下文中_name是字符串类型，ID是INT类型
防止SQL注入，不用过滤delete,insert等SQL关键词。因为这些关键词说白了都是字符串类型，在执行SQL语句的时候，都是包含在单引号里面的，比如 select * from table where _name='delete' 。所以，造不成任何影响。
那为什么有很多人要防止呢，是因为单引号。如果： select * from table where _name='name';delete from table''
这样，就会被注入了。但是，这样的话，等于_name的值，变成了： name';delete from table'
所以，导致注入的，不是分号; 也不是delete ，而是单引号 '
但是并不是防止了单引号就没事了，还要防止类型。
select * from table where id=1;delete from table ;
这样，也注入了。但是ID的值呢，是 ;delete from table。 这个值是INT吗，不是，那就不应该能通过验证来执行SQL。
除了防止类型呢？长度。
INT类型的长度是10位，超过10位，INT类型的判断是通过了，但是数据库还是会报错。
就像你数据库是varchar(20)，然后你�
相关问答：
环境：1.win2003server+oracle9i
2.oracle9i字符集为AMERICAN_AMERICA.WE8ISO8859P1
3.oracle sql developer版本 1.5.5
现象描述: 1.在sql developer 中查询oracle中的某个表，中文全部显示为乱码。
......
select convert(varchar(50),cast(convert(numeric(18,2),1275674000000/100000000)as real))+'亿'
select cast(convert(numeric(18,2),1275674000000/100000000)as real)
为什么上一个用varchar转换后就只保留了� ......
table1:
uID uName
1 小李
2 小张
table2:
pID uID type
1 1 H1
2 ......
有一张表(SHGL)
JLBH LXR LXDH SHDZ
1 a ......
为了满足数据查询的速度问题，我将一张数据量大的学生表按年度分成多个表
students_2008, students_2009然后我又做了一个模板表students_template,模板表中的字段和students_2008, students_2009一样，只不过是一个 ......
