asp.net防sql注入
using (con)
{
con.Open();
String sqltext = "select * from emp where empno=@empno";
SqlCommand cmd = new SqlCommand(sqltext, con);
cmd.Parameters.AddWithValue("@empno", this.TextBox.Text);
GridView1.DataSource = cmd.ExecuteReader();
GridView1.DataBind();
}
即使用参数化，而不是直接拼接sql语句，简单有效，能基本应对网站的一般安全要求。但是每个sql语句又要参数化，对于参数比较多的语句写起来比较麻烦。
相关文档：
MINUS 指令是运用在两个 SQL 语句上。它先找出第一个 SQL 语句所产生的结果，然后看这些结果有没有在第二个 SQL 语句的结果中。如果有的话，那这一笔资料就被去除，而不会在最后的结果中出现。如果第二个 SQL 语句所产生的结果并没有存在于第一个 SQL 语句所产生的结果内，那这笔资料就被抛弃。
MINUS 的语法如下：
[SQ ......
有的时候，我们有需要将由不同栏位获得的资料串连在一起。每一种资料库都有提供方法来达到这个目的：
MySQL: CONCAT()
Oracle: CONCAT(), ||
SQL Server: +
CONCAT() 的语法如下：
CONCAT(字串1, 字串2, 字串3, ...): 将字串1、字串2、字串3，等字串连在一起。请注意，Oracle的CONCAT()只允许两个参数；换言之，� ......
有时候我们会需要清除一个表格中的所有资料。要达到者个目的，一种方式是我们在 SQL DROP 那一页 看到的 DROP TABLE 指令。不过这样整个表格就消失，而无法再被用了。另一种方式就是运用 TRUNCATE TABLE 的指令。在这个指令之下，表格中的资料会完全消失，可是表格本身会继续存在。 TRUNCATE TABLE 的语法为下：
TRUNCATE ......
到目前为止，我们学到了将如何把资料由表格中取出。但是这些资料是如果进入这些表格的呢？ 这就是这一页 (INSERT INTO) 和下一页 (UPDATE) 要讨论的。
基本上，我们有两种作法可以将资料输入表格中内。一种是一次输入一笔，另一种是一次输入好几笔。 我们先来看一次输入一笔的方式。
依照惯例，我们先介绍语法。一次输� ......
在某些情况下，我们会需要直接由数据库中去除一些资料。这可以藉由 DELETE from 指令来达成。它的语法是：
DELETE from "表格名"
WHERE {条件}
以下我们用个实例说明。假设我们有以下这个表格：
Store_Information 表格
store_name
Sales
Date
Los Angeles
$1500
Jan-05-1999
San Diego
$250
Jan-0 ......
