防止SQL注入式攻击的问题
在用SQL语句对数据库进行操作，如果仅仅是将网页输入框的“'”替换掉，请问这样做有什么漏洞？
[解决办法]
用SqlParameter

比如你的sql="select * from T where id="+id;

如果前面传id="1;delete from T"



*****************************************************************************
签名档： http://feiyun0112.cnblogs.com/
[解决办法]
一般都是参数化执行SQL语句

"select top 1 * from T where id=@id"
[解决办法]
都什么年代了还用拼接字符串，这种既不安全又麻烦的方法