请教组长的问题

   public string Dtitle
        {
            set { _dtitle = value; }
            get { return sdh.dbExecuteSql4Values("select Dtitle from DS_diary where Did='" + _did + "'"); }
        }
        /// <summary>
        /// 日志内容
        /// </summary>
        public string Dcontent
        {
            set { _dcontent = value; }
            get { return sdh.dbExecuteSql4Values("select Dcontent from DS_diary where Did='" + _did + "'"); }
        }
   这个是一个类里的,组长你说这么传_did不好容易被黑,可是应该怎么改呢?改成传参是什么意思呢?

posted @ 2007-09-26 19:34 Have a try 阅读(17) 评论(2)  编辑 收藏

  回复  引用  查看    
#1楼  2007-09-26 20:12 | 阿滨       
你这个存在SQL注入
使用SQL参数化。。网上很多粒子
或者你执行过滤明感字符
SqlCommand cmd =new SqlCommand();
cmd.SqlParameter.add(new SqlParamerte("@id",数据库对应列类型))
cmd.SqlParameters[0].value=给参数传值
  回复  引用  查看    
#2楼  2007-09-26 21:03 | 张玉丰      
早说了,一定要参数化,像楼上的这位说的一样。

标题  
姓名  
主页
Email (只有博主才能看到) 
验证码 *  看不清,换一张 [登录][注册]
内容(请不要发表任何与政治相关的内容)  
  登录  使用高级评论  新用户注册  返回页首  恢复上次提交      


相关链接: