sql注入问题

Question

比如用户在登陆的时候是用存储过程可以防止SQL注入
那我直接不拼接SQL而用SQLParamater也一样啊
为什么还要写成存储过程？

Answer 1

http://topic.csdn.net/u/20080502/09/d0b1cdc8-2336-4608-8bdc-e77afe1df122.html

Answer 2

用SQLParamater的方式当然可以 和存储过程传值一样 不是拼串

Answer 3

那两个效果是一样的
但是存储过程比直接用SqlParamater的效率高

Answer 4

用SQLParamater，一般不需要转么写存储过程

Answer 5

直接参数化传值，不用存储过程，sql里面使用@str 

Answer 6

用SQLParamater  可以的啊 没有必要用存储过程我觉得用存储过程比较麻烦

Answer 7

存储过程是不能解决SQL注入的问题的，常用的防止SQL注入的方法，本人常用的主要有下面两种方式：
(1)文本框中限制用户输入的最大长度，用户和密码的长度一般是有一个长度范围的；
(2)进行SQL操作前，替换掉输入数据里面的单引号之类的危险字符；

Answer 8

用SQLParamater  可以的啊 

Answer 9

O 
我一直以为必须得把SQL语句写成存储过程呢
我个人喜好，还是直接写来的方便，不是很喜欢用存储过程