苹果的梦想...

享受自己的小快乐

2009年3月9日

用XML格式代替动态SQL文来减少注入风险(小技巧)

摘要： 在存储过程中拼写SQL语句是非常普遍的事情，使用...in (n,m,...)也是较常见的.最近在一次应用中因为使用IN拼出来的动态SQL被客户指出,具有被注入的风险.说实在的一般人对sql注入了解的都不多,有这方面经验可能更少,反正任我想破脑袋也想不透如何可能被注入.(也许对方真的注入成功了)这里解决的办法就是将In后的目标字符串以XML方式输入存储过程中,变向的实现IN功能. DECLARE... 阅读全文

posted @ 2009-03-09 21:40 Redkey 阅读(436) 评论(2) 推荐(0)
sqlserver2005新功能函数

摘要： 转自：陋室铭。 排名函数是SQL Server2005新加的功能。在SQL Server2005中有如下四个排名函数： 1. row_number 2. rank 3. dense_rank 4. ntile 一、row_number row_number函数的用途是非常广泛，这个函数的功能是为查询出来的每一行记录生成一个序号。row_number函数的用法如下面的S... 阅读全文

posted @ 2009-03-09 10:49 Redkey 阅读(309) 评论(0) 推荐(0)