1、sql字符串注入攻击及防御：
攻击：a');update students set sname='郑祎著';--
防御：cmd.commandtext="insert into students values(@a,@b);";
cmd.parameters.Clear();
cmd.parameters.AddWithValue("@a",code);
cmd.parameters.AddWithValue("@b",name);
2、三个层面：
界面层：
业务逻辑层：
数据访问层：
3、实体类:
最简单的封装
把数据库的表名变成类的类名
把数据库的每一个列，变为实体类中的成员变量和属性
列名与属性名一致
4、数据访问类
将某个表的数据库操作写成一个一个方法，放入到此类中
供外部调用
