sql="select * from Table1 where Name='"+strName+"'";这条语句有什么隐患？

[kmfangxun]

sql="select * from Table1 where Name='"+strName+"'";这条语句有什么隐患存在？strName保存用户输入。

[LuoGD]

strName = "' or 'a'='a"
试试~~

用SQL参数的方法可以避免：
sql="select * from Table1 where Name=@name";

[ccrun.com]

如果对strName的内容不加以过滤的话，可能存在SQL注入漏洞。

[kmfangxun]

呵呵，前几天被用户搞得焦头烂额，拖了几天到现场才发觉就是因为楼上几个兄弟说的原因造成的。害得我还得花时间重写类似的sql语句。看来图省事是不行地！