用SQL语句添加删除修改字段
1.增加字段
alter table docdsp add dspcode char(200)
alter table tbl add meet_group int2
2.删除字段
ALTER TABLE table_NAME DROP COLUMN column_NAME
3.修改字段类型
ALTER TABLE table_name ALTER COLUMN column_name new_data_type
4.sp_rename 改名
更改当前数据库中用户创建对象（如表、列或用户定义数据类型）的名称。
语法
sp_rename [ @objname = ] 'object_name' ,
[ @newname = ] 'new_name'
[ , [ @objtype = ] 'object_type' ]
如：EXEC sp_rename 'newname','PartStock'
5.sp_help 显示表的一些基本情况
sp_help 'object_name' 如：EXEC sp_help 'PartStock' ......
如果是类似"select * from user where uid="+uid +" and pwd="+pwd 很容易出问题
使用 SQLParamenter
把你的SQL语句写成 类似存储过程
select * from user where uid=@uid and pwd=@pwd
使用这个SQL语句定义为 SQLCommand 对象 然后使用 Paramenter 对象把 @*** 替换为 值
就可以搞定注入式漏洞了 ......
1、 SQL注入攻击的本质：让客户端传递过去的字符串变成SQL语句，而且能够被执行。
2、 每个程序员都必须肩负起防止SQL注入攻击的责任。
说起防止SQL注入攻击，感觉很郁闷，这么多年了大家一直在讨论，也一直在争论，可是到了现在似乎还是没有定论。当不知道注入原理的时候会觉得很神奇，怎么就被注入了呢？会觉得很难预防。但是当知道了注入原理之后预防不就是很简单的事情了吗？
第一次听说SQL注入攻击的时候还是在2004年（好像得知的比较晚），那是还是在写asp呢。在一次写代码的时候，有同事问我，你的这段代码防注入攻击了吗？什么攻击？这是什么呀。
后来到网上各种找，终于弄明白了是怎么攻击进来的了。注入攻击都是来自于客户端，无论是表单提交、URL传值还是Cookie等，其实原理都是一样的。到了服务器端可以分成三种情况：数字、日期时间、字符串。
一、数字。
如何注入？
假设我们要实现一个显示新闻的页面，我们可能会随手写下下面的代码：
string id = Request.QueryString["id"];
string sql = "select * from news where ColID=" + id;
如果传递 ......
select * from formtable_main_20
sp_help formtable_main_20
--drop view zcountQJ01
create view zcountQJ01
as
select appman ,year(startdata) as zyear,jb,cast(sum(num) as decimal(4,1) ) as num
from formtable_main_20
where year(getdate()) = year(startdata)
group by appman,jb,year(startdata)
select * from zcountQJ01
--drop function fn_str
--创建函数
CREATE function dbo.fn_strqj(@var_appman int)
returns varchar(100)
as
begin
declare @var varchar(100)
set @var=''
select @var=@var+
-- cast(jb as varchar(10))
case ......
1. SQL优化的原则是：将一次操作需要读取的BLOCK数减到最低,即在最短的时间达到最大的数据吞吐量。
调整不良SQL通常可以从以下几点切入：
检查不良的SQL，考虑其写法是否还有可优化内容
检查子查询 考虑SQL子查询是否可以用简单连接的方式进行重新书写
检查优化索引的使用
考虑数据库的优化器
2. 避免出现SELECT * from table 语句，要明确查出的字段。
3. 在一个SQL语句中，如果一个where条件过滤的数据库记录越多，定位越准确，则该where条件越应该前移。
4. 查询时尽可能使用索引覆盖。即对SELECT的字段建立复合索引，这样查询时只进行索引扫描，不读取数据块。
5. 在判断有无符合条件的记录时建议不要用SELECT COUNT （*）和select top 1 语句。
6. 使用内层限定原则，在拼写SQL语句时，将查询条件分解、分类，并尽量在SQL语句的最里层进行限定，以减少数据的处理量。
7. 应绝对避免在order by子句中使用表� ......
SELECT * from user WHERE name LIKE '%三%';
将会把name为“张三”，“三脚猫”，“唐三藏”等等有“三”的全找出来；
在进行数据库查询时，有完整查询和模糊查询之分。
一般模糊语句如下：
SELECT 字段 from 表 WHERE 某字段 Like 条件
其中关于条件，SQL提供了四种匹配模式：
1，%：表示任意0个或多个字符。可匹配任意类型和长度的字符，有些情况下若是中文，请使用两个百分号（%%）表示。
比如 SELECT * from [user] WHERE u_name LIKE '%三%'
将会把u_name为“张三”，“张猫三”、“三脚猫”，“唐三藏”等等有“三”的记录全找出来。
另外，如果需要找出u_name中既有“三”又有“猫”的记录，请使用and条件
SELECT * from [user] WHERE u_name LIKE '%三%' AND u_name LIKE '%猫%'
若使用 SELECT * from [user] WHERE u_name LIKE '%三%猫%'
虽然能搜索出“三脚猫”，但不能搜索出符合条件的“张猫三”。
2，_： 表示任意单个字符。匹配单个任意字符，它常用来限制表达式的字符长度语句：
比如 SELECT * from [use ......
最新文章 : sql