！！！！！！*****防sql注入的问题********！！！！！！！！！！！

[quanpp_user]

sql注入是不是只针对与查询？ 我最近做个网站， 对高级查询做了防sql注入！ 大家给点意见

[hyy567]

1.用存储过程.
2.过率关键字.

[zpcoder]

最简单又最好用的方法就是用 存储过程

[benbirdar]

把用户输入的条件传递给参数SqlParameter即可

给你的参考代码：

            SqlConnection conn=new SqlConnection
                      (System.Configuration.ConfigurationSettings.AppSettings["conn"]); 
            SqlCommand comm=new SqlCommand("update tb1 set vName=@vName,
                                                 iAge=@iAge where ID=@id",conn); 
            SqlParameter parm1=new SqlParameter("@vName",SqlDbType.NVarChar,50); 
            parm1.Value=((TextBox)e.Item.FindControl("name")).Text; 
            SqlParameter parm2=new SqlParameter("@iAge",SqlDbType.Int); 
            parm2.Value=((TextBox)e.Item.FindControl("age")).Text; 
            SqlParameter parm3=new SqlParameter("@id",SqlDbType.Int); 
            parm3.Value=this.DataGrid1.DataKeys[e.Item.ItemIndex]; 
            comm.Parameters.Add(parm1); 
            comm.Parameters.Add(parm2); 
            comm.Parameters.Add(parm3); 
            conn.Open(); 
            comm.ExecuteNonQuery(); 
            conn.Close(); 

[金大哈]

我提一种不行的
sql = "select * from aa where id ='+ request.querystring["xx"]+'"

[wangzhenyue]

存储过程

正则

[xz_xq]

使用传参数的方式执行SQL语句

[liu4545533]

使用参数化的sql语句就可以啦