做学生信息管理系统的时候，很多同学就已经提到这个问题了。但是没有去深究，后来铁道部购票网出了SQL注入的问题，据说这个问题属于菜鸟级。然后验收的时候，师父跟我说了说SQL注入的问题，于是才有了这篇别人早写过很久的文章。
首先说说什么是SQL注入。SQL 注入是一种攻击方式，在这种攻击方式中，恶意代码被插入到字符串中，然后将该字符串传递到 SQL Server 的实例以进行分析和执行。任何构成 SQL 语句的过程都应进行注入漏洞检查，因为 SQL Server 将执行其接收到的所有语法有效的查询。一个有经验的、坚定的攻击者甚至可以操作参数化数据。简单的说就是：攻击者可以通过SQL注入来非法操作你的数据库。只要注入的 SQL 代码语法正确，便无法采用编程方式来检测篡改。因此，必须验证所有用户输入，并仔细检查在您所用的服务器中执行构造
SQL 命令的代码。下面是上网查询的如何防止SQL注入的一些资料，做个总结。
防止SQL注入：
1）验证所有输入：始终通过测试类型、长度、格式和范围来验证用户输入。
对应用程序接收的数据不做任何有关大小、类型或内容的假设。
测试输入的大小和数据类型，强制执行适当的限制。这有助于防止有意造成的缓冲区溢出。
测试字符串变量的内容，只接受所需的值。拒绝包含二进制数据、转义序列和注释字符的输入内容。这有助于防止脚本注入，防止某些缓冲区溢出攻击。
使用 XML 文档时，根据数据的架构对输入的所有数据进行验证。
绝不直接使用用户输入内容来生成 Transact-SQL 语句。
使用存储过程来验证用户输入。
在多层环境中，所有数据都应该在验证之后才允许进入可信区域。未通过验证过程的数据应被拒绝，并向前一层返回一个错误。
实现多层验证。对无目的的恶意用户采取的预防措施对坚定的攻击者可能无效。更好的做法是在用户界面和所有跨信任边界的后续点上验证输入。
绝不串联未验证的用户输入。字符串串联是脚本注入的主要输入点。
如果可能，拒绝包含以下字符的输入：“;”、“'”、“xp_”
2)在存储过程中使用参数化输入：如果使用存储过程，则应使用参数作为存储过程的输入。
3）在动态 SQL 中使用参数集合
4）使用 QUOTENAME() 和 REPLACE() 包装参数
以上内容有些目前还不懂，比如存储过程之类，目前在数据库部分中还没有使用过。所以，这些需要等段时间在来学习。