防止SQL注入攻击的注意事项
防止SQL注入攻击的注意事项
一. SQL Injection及其防范的基本知识
可能大家都知道，SQL注入主要是利用字符型参数输入的检查漏洞。
比如说，程序中有这样的查询：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName + "'";
其中的userName参数是从用户界面上输入的。
如果是正常的输入，比如“Peter”，SQL语句会串接成：
"SELECT * from SiteUsers WHERE UserName='Peter'";
如果攻击者输入的是下面的字符串：
"xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx"
此时SQL语句会变成下面这个样子：
"SELECT * from SiteUsers WHERE UserName='xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx'";
其结果，得到执行的是两个SQL语句，第二个语句的后果就比较严重了。
防止注入的方法其实很简单，只要把用户输入的单引号变成双份就行了：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName.Replace("'","''") + "'";
这样，如果输入的是上面那种恶意参数，整个SQL语句会变成：
"SELECT * from SiteUsers WHERE UserName='<STRONG>xxx''; DROP TABLE SiteUsers WHERE 1=1 or UserName=''xxx</STRONG>'";
被执行的还是一个SQL语句，整个粗体部分都成为参数值。
一般的做法，是在程序中统一调用下面这样的共通函数，对参数进行处理：
private string SafeSqlLiteral(string inputSQL)
{
return inputSQL.Replace("'", "''");
}
由于很多人会疏忽这种单引号替换，所以真正安全的做法是使用参数化查询。
二. 参数化查询
在ADO.NET中，提供了一种参数化查询方法，可以替代上面这种拼接SQL语句的做法。
参数化查询的具体实现是：
（1）组织一个夹带参数名的SQL语句，作为SqlCommand的CommandText。
（2）使用Parameters.Add方法设置参数值。
（3）执行SqlCommand。（这个步骤跟上面那种拼接SQL的办法是一样的。）
下面是一个例子：
string sql = "SELECT T2.dep_code, T2.dep_name from DEP ";
sql += " WHERE T2.dep_name like ('%'+ <STRONG>@Param</STRONG> + '%') ";
SqlCommand sqlCommand = new SqlCommand(sql,cn);
sqlCommand.Parameters.Add(new SqlParameter("Param",s);
其中的@Param就是参数名，s则是用户输入的查询条件字串。
（顺�
相关文档：
附:Oracle SQL Developer — 扩展交流中心
http://www.oracle.com/technology/global/cn/products/database/sql_developer/files/extensions.htm
之前作为一个Oracle Employee，却总是在使用PL/SQL Developer（而且是破解版），这实在有些说不过去，但是如何找到一个合心趁手的能够� ......
TITLE: SQL Server 安装程序失败。
------------------------------
SQL Server 安装程序遇到以下错误:
MsiGetProductInfo 无法检索 Product Code 为“{95120000-00B9-0409-0000-0000000FF1CE}”的包的 ProductVersion。错误代码: 1605。。
遇到这个错误时，解决方法如下：
当系统提示如 {95120000-0 ......
随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的� ......
1、到微软官方去下载新的驱动，下载地址如下：
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=ccdf728b-1ea0-48a8-a84a-5052214caad9
官方文档有描述：
Refer to the documentation that is installed with the driver for a description of the new features in this ......
摘自：伊仪秋水
SQL Server Management Studio (SSMS) 的“连接到服务器”对话框会记录用户所有访问过的服务器名称，这个功能对于经常连接多个数据库的人来说确实挺方便的。
不过使用了一段时间之后，这个列表会变得很长。里面还有很多服务器名称都已经失效了，很想把这个列表清空了。但是很郁闷在SSMS的界面找 ......
