防止SQL注入式攻击的问题
      在用SQL语句对数据库进行操作，如果仅仅是将网页输入框的“'”替换掉，请问这样做有什么漏洞？
------解决方案--------------------
用SqlParameter

比如你的sql="select * from T where id="+id;

如果前面传id="1;delete from T"


  
*****************************************************************************
签名档： http://feiyun0112.cnblogs.com/
------解决方案--------------------
一般都是参数化执行SQL语句

"select top 1 * from T where id=@id" 
------解决方案--------------------
都什么年代了还用拼接字符串，这种既不安全又麻烦的方法