专注于互联网--专注于架构

sql拼接:不要拼接Sql，而要使用参数的好处

在实际开发中，经常会需要对数据库进行访问，最常见的开发方法就类似： string sql = "select * from table1 where name = '" + name + "'"; 这种方式有被注入攻击的危险（什么是注入，搜索一下吧，太多了） 所以解决方案有2种： 1、改成：string sql = "select * from table1 where name = '" + name.Replace("'","''") + "'"; // 替换一个单引号为两个单引号 2、使用参数化形式，如在Oracle中，用如下方式执行： string sql = [阅读全文] [PDF]