SQL注入脚本问题

导致注入原因：通过URL id=?后面写了UPDATE语句，注入垃圾代码。 解决：判断接收来的ID是否为INT，如果不是，就返回错误提示。 如果ID可以为字符串类型时，则把一些SQL的关键字屏蔽掉 如果没有源码的程序，出现SQL注入问题，还可以通过设置数据库的权限来解决。 登录名权限太大，以至于别人能访问sys.columns,sys.object这两表，获取字段名，修改字段 解决：1，新建个登录名，不要给sysadmin权限，用户映射到要访问的数据库，给与db_owner,public权限，架构不要选 2，找到要访问的数据库—视图—sys.admin,sys.objects—权限—添加—用户浏览—登陆名（allbring）--拒绝select