防止SQL注入式攻击的问题
在用SQL语句对数据库进行操作，如果仅仅是将网页输入框的“'”替换掉，请问这样做有什么漏洞？
[解决办法]
用SqlParameter
比如你的sql="select * from T where id="+id;
如果前面传id="1;delete from T"
*****************************************************************************
签名档： http://feiyun0112.cnblogs.com/
[解决办法]
一般都是参数化执行SQL语句
"select top 1 * from T where id=@id"
[解决办法]
都什么年代了还用拼接字符串，这种既不安全又麻烦的方法
