在线等待：一条sql语句该怎么写？

[huhaha7171]

类似以下的意思：
"SELECT * from userlog WHERE (用户名 = this.textBox1.Text) && (密码 = this.textBox2.Text) "
表userlog 中有 用户名 和 密码 2项，
从中找出与登陆界面（formlogin）中2个textBox内容一致的记录

[jiezhi]

這么寫語句很不安全，建議如下：
先檢查是否存在用戶，然后從數據庫得到密碼，然后和輸入的密碼比較，如果正確才讓登錄

[雪狼1234567]

语句如下：
"select * from userlog where (用户名='"+this.TextBox1.Text +"' and 密码= '+this.TextBox2.Text'"
不过建议二点，
1.不要用中文做字段名
2.登录时写成函数，而且先判断是否有用户，再判断密码是否正确

[jiezhi]

這么寫語句？？？
"select * from userlog where (用户名='"+this.TextBox1.Text +"' and 密码= '+this.TextBox2.Text'"
這個是一個初級錯誤了。有惡意者可以輕松進入系統

[huhaha7171]

各位能否在安全上在讲讲为什么？谢谢

[ahui_net]

select * from userlog where (用户名='11' and 密码= 1 or 1=1")
不过现在好像没这漏洞了

[laoa]

安不安全，可以在页面上用验证控件，验证是否有空格与单引号。

我的方案里，现在都把密码用MD5加密。

第一，敌方很难取我的CONFIG下的加密串。

第二，MD5暴力破的时间会很长的。

[huhaha7171]

我做的仅仅是个winform的程序，不只是否有安全问题？
"select * from userlog where (用户名='"+this.textBox1.Text+"' and 密码='"+this.textBox2.Text+"')";

[hehaorome]

有没有问题你去问一问老板就知道了，主要看他向做成什么样

[linaren]

试试这样吧
"select * from userlog where (用户名='"+this.textBox1.Text.Trim()+"' and 密码='"+this.textBox2.Text.Trim()+"')";

[lxhvc]

作为登陆页，最好不要用明文验证，象楼上那位说的用MD5加密是个很好的方法，MD5得到的密文
是不可逆向求解的。