网站开发中安全问题初探
一个简单经典的SQL语句注入侵入：
一个网站需要用户输入username与password来进行身份的验证，那么在登录网页提供两个输入框，分别对应username与password.当用户输入了相应的信息，那么在后台需要用相应的SQL语句进行验证：
例如：sql="SELECT*FROMusersWHEREusername='"+username+"'ANDpassword='"+password+"';"
如果在数据库当中我们根据上面的SQL语句找到了一条相对应的记录，那么用户就可以登录进去网站。
问题出现了，就在这一条sql语句上面。如果在password输入框中输入OR‘1’=‘1’那么整个sql语句就是：sql=SELECT*FROMusersWHEREusername='bob'ANDpassword=''OR'1'='1';这条语句返回所有名字为bob的用户，因为‘1’=‘1’这一条件永远成立，此时用户还是被判断为可以登录网站。
安全漏洞很明显，同时读者肯定看到了它巨大的危害性。
解决方案之一：
先取出来username对应的记录，取出次记录的password,然后用password.equals("用户输入的password")进行比较，如果一致则正确，如果不一致则为错误信息。
解决方案之二：
过滤掉“‘”符号。在把参数给予SQL语句之前，我们先把“’”号去掉，那么就不会存在SQL语句的注入问题。
pwd=replace(trim(request.form("pwd")),"'","")
name=replace(trim(request.form("name")),"'","")
sql="select*fromManage_UserwhereUserName='"&name&"'AndPassWord='"&encrypt(pwd)&"'"
有一篇文章整理的不错，是关于oracle黑客攻击的介绍：http://www.cio360.net/h/2253/327952-9313.html#pager