使用动态sql的方法防止sql注入

admin

事例SQL语句如下：

DECLARE @variable NVARCHAR(100)
DECLARE @SQLString NVARCHAR(1024)
DECLARE @ParmDefinition NVARCHAR(500)
SET @SQLString = N'SELECT OEV.Name, OEV.Position, Base_Employee.Address, OEV.Telephone, OEV.MobilePhone, OEV.Email, OEV.RealDepID
                   FROM Base_OrganizeEmployeeView AS OEV
                   JOIN Base_Employee
                   ON Base_Employee.Emp_ID = OEV.Emp_ID
                   WHERE (OEV.Account LIKE ''%'' + @searchFilter + ''%'' OR OEV.Name LIKE ''%'' + @searchFilter + ''%'' OR OEV.Position LIKE ''%'' + @searchFilter + ''%'' ) AND STATE = 1'
SET @parmDefinition = N'@searchFilter varchar(100)'
SET @variable = N'k'
EXECUTE sp_executesql @SQLString, @ParmDefinition, @searchFilter = @variable

萨斐罗斯

@,@..是什么意思呀？  

我是二零

我假装认真地工作，老板假装认真地付薪水  

农夫三拳

人之所以能，是相信能。  

聯合公園

我不是随便的人。我随便起来不是人  

蓝色的由郁

楼主也是培训师吗  

墨尔本鬼步

不对，就是碗是铁的，里边没饭你吃啥去？  

呵呵~

我假装认真地工作，老板假装认真地付薪水  

我是坏蛋

应该加分  

取个名字好难

不错，看看。