关于防止SQL注入。结论贴。
不吵了。先自我批评，刚才我情绪很鸡动，我错了。我说我错了，是态度错了，我观点没错。
我直接总结了，前两个贴的是是非非，不说了。
前提，不用参数化，SQLServer数据库。
为什么这里举例不用参数化，因为参数化直接就防止SQL注入了。
为什么说SQLServer数据库，因为据说MYSQL里面这样还不够。但是ACCESS却是一样的。
为什么不提存储过程，因为没用，存储过程和拼接SQL一样，你用了参数化，就不会被注入，不用参数化，就会被注入。
下文中_name是字符串类型，ID是INT类型
防止SQL注入，不用过滤delete,insert等SQL关键词。因为这些关键词说白了都是字符串类型，在执行SQL语句的时候，都是包含在单引号里面的，比如 select * from table where _name='delete' 。所以，造不成任何影响。
那为什么有很多人要防止呢，是因为单引号。如果： select * from table where _name='name';delete from table''
这样，就会被注入了。但是，这样的话，等于_name的值，变成了： name';delete from table'
所以，导致注入的，不是分号; 也不是delete ，而是单引号 '
但是并不是防止了单引号就没事了，还要防止类型。
select * from table where id=1;delete from table ;
这样，也注入了。但是ID的值呢，是 ;delete from table。 这个值是INT吗，不是，那就不应该能通过验证来执行SQL。
除了防止类型呢？长度。
INT类型的长度是10位，超过10位，INT类型的判断是通过了，但是数据库还是会报错。
就像你数据库是varchar(20)，然后你�
相关问答：
sql可以有两个以上的触发器吗？？我指的是for触发器，那其他的呢？？
什么意思？
可以的
10个都没问题
可是我写了两个for insert 触发器，造成进程阻塞了呢？怎么办呢？请高人指点
......
access 中执行sql update语句时有时候成功有时候不成功，但是access中不出错误信息，不知道是什么原因，有哪位大侠知道，请帮忙啊
贴SQL语句，检查表、字段的有效性设置
sql 在查询分析器里面 执行很正常
是 ......
select convert(varchar(50),cast(convert(numeric(18,2),1275674000000/100000000)as real))+'亿'
select cast(convert(numeric(18,2),1275674000000/100000000)as real)
为什么上一个用varchar转换后就只保留了� ......
直接启动 点了等一会儿就没反应了 去服务那里启动会出现如下提示
出现“本地计算机上的MSSQLSERVER服务启动后又停止了。一些服务自动停止，如果它们没有什么可做的
然后还有什么什么不存在
......
现在有a1,a2两表
a1
id name aa cc
001 aaaa bbb cc
002 bbb bbb bbb
003 ccc ccc ccc
004 ddd ddd ddd
005 eee eee eee
a2
id ida2 ff b ......
