① C# sql返回值 我想返回一個用戶姓名，SQL語句我在SQL server中查沒問題，請問哪裡的寫錯了
這個代碼看起來是沒什麼問題的，你把
SqlDataAdapter sda = new SqlDataAdapter();
DataSet ds = new DataSet();
sda.SelectCommand = new SqlCommand(sql,myConn);
sda.Fill(ds);
return ds;
這段代碼用try-catch語句包起來，調試運行，主要看以下幾個地方：
1、sql語句初始化之後sql變數的值是不是合法的sql語句（不建議使用sql拼接生成sql，這樣可能造成漏洞，具體可網上搜索「sql注入攻擊」）。
2、看myConn狀態是否是Opened狀態。
3、如果以上亮點通過，應該會拋出異常了，那你就看異常信息，根據異常信息判斷異常出現地點。
修改之後代碼如下：
try
{
SqlDataAdapter sda = new SqlDataAdapter();
DataSet ds = new DataSet();
sda.SelectCommand = new SqlCommand(sql,myConn);
sda.Fill(ds);
return ds;
}
catch(Exception ex)
{
MessageBox.Show(ex.Message);
return null;
}
② 簡單分析什麼是SQL注入漏洞
SQL是操作資料庫數據的結構化查詢語言，網頁的應用數據和後台資料庫中的數據進行交互時會採用SQL。
SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。它是利用現有應用程序，將惡意的SQL命令注入到後台資料庫引擎執行的能力，它可以通過在Web表單中輸入SQL語句得到一個存在安全漏洞的網站上的資料庫，而不是按照設計者意圖去執行SQL語句。
③ 動態執行sql語句是否有返回值可以判斷是否成功
返回執行的上一個 Transact-SQL 語句的錯誤號。
Transact-SQL 語法約定
語法
@@ERROR
返回類型
integer
備注
如果前一個 Transact-SQL 語句執行沒有錯誤，則返回 0。
如果前一個語句遇到錯誤，則返回錯誤號。如果錯誤是 sys.messages 目錄視圖中的錯誤之一，則 @@ERROR 將包含 sys.messages.message_id 列中表示該錯誤的值。可以在 sys.messages 中查看與 @@ERROR 錯誤號相關的文本信息。
由於 @@ERROR 在每一條語句執行後被清除並且重置，因此應在語句驗證後立即查看它，或將其保存到一個局部變數中以備以後查看。
使用 TRY...CATCH 構造來處理錯誤。TRY...CATCH 構造也支持其他返回的錯誤信息多於 @@ERROR 的系統函數（ERROR_LINE、ERROR_MESSAGE、ERROR_PROCEDURE、ERROR_SEVERITY 和 ERROR_STATE）。TRY...CATCH 也支持 ERROR_NUMBER 函數，但不限制該函數在語句產生錯誤後立即在語句中返回錯誤號。有關詳細信息，請參閱 TRY...CATCH (Transact-SQL)。
示例
A. 用 @@ERROR 檢測一個特定錯誤
以下示例用 @@ERROR 在 UPDATE 語句中檢測約束檢查沖突（錯誤 #547）。
復制代碼
USE AdventureWorks;
GO
UPDATE HumanResources.EmployeePayHistory
SET PayFrequency = 4
WHERE EmployeeID = 1;
IF @@ERROR = 547
PRINT N'A check constraint violation occurred.';
GO
B. 用 @@ERROR 有條件地退出一個過程
在此示例中，IF...ELSE 語句在存儲過程中的 INSERT 語句後檢測 @@ERROR。@@ERROR 變數的值將決定發送給調用程序的返回代碼，以指示此過程的成功與失敗。
復制代碼
USE AdventureWorks;
GO
-- Drop the procere if it already exists.
IF OBJECT_ID(N'HumanResources.usp_DeleteCandidate', N'P') IS NOT NULL
DROP PROCEDURE HumanResources.usp_DeleteCandidate;
GO
-- Create the procere.
CREATE PROCEDURE HumanResources.usp_DeleteCandidate
(
@CandidateID INT
)
AS
-- Execute the DELETE statement.
DELETE FROM HumanResources.JobCandidate
WHERE JobCandidateID = @CandidateID;
-- Test the error value.
IF @@ERROR <> 0
BEGIN
-- Return 99 to the calling program to indicate failure.
PRINT N'An error occurred deleting the candidate information.';
RETURN 99;
END
ELSE
BEGIN
-- Return 0 to the calling program to indicate success.
PRINT N'The job candidate has been deleted.';
RETURN 0;
END;
GO
C. 與 @@ROWCOUNT 一同使用 @@ERROR
下面的示例用 @@ERROR 和 @@ROWCOUNT 驗證一條 UPDATE 語句的操作。為任何可能出現的錯誤而檢驗 @@ERROR 的值，而用 @@ROWCOUNT 保證更新已成功應用於表中的某行。
④ sql盲注是萬能的嗎
不是。
盲注，開發人員不會把資料庫報錯信息顯示在前端頁面，這樣就使我們想要通過union注入或報錯注入的攻擊方式難以實現。當不顯示報錯信息的時候，我們還可以通過盲注的方式來對資料庫進行注入攻擊。盲注，顧名思義，就是在頁面沒有提供明顯信息的情況執行的注入方式。盲注又分為兩種，布爾型盲注和時間型盲注。
盲注技術是sql注入的一種，不過比一般的sql注入的危害更大。普通的sql注入大致可以通過在提交框中輸入單引號、雙引號和括弧等看網頁的返回內容來判斷，但有很多網站並不會將一些敏感數據顯示到前端，而它們仍然是存在sql注入漏洞的。那麼黑客面對這種不回顯的sql注入漏洞，也可以通過一些方法和技巧實現他們的目的，獲取到他們想要的一些信息，這個過程就稱為sql盲注。如果注入的成功與否，頁面的返回值會有差異的話，那麼可以調取函數做一些比較操作，通過觀察頁面的返回做布爾值的盲注，就是一個一個字元去比對去驗證。如果頁面完全沒有任何返回差異的話，也不是毫無辦法，可以做基於時間的盲注。
⑤ 為什麼我SQL注入兩次都返回正常
一：語句沒正確，二：程序中過濾了關鍵字，或者將值做為參數傳遞到資料庫，即防注入的一種方式
⑥ SQL注入的一般過程如何
方法1先猜表名 And (Select count(*) from 表名)<>0 猜列名 And (Select count(列名) from 表名)<>0 或者也可以這樣 and exists (select * from 表名) and exists (select 列名 from 表名) 返回正確的，那麼寫的表名或列名就是正確 這里要注意的是，exists這個不能應用於猜內容上，例如and exists (select len(user) from admin)>3 這樣是不行的 現在很多人都是喜歡查詢裡面的內容，一旦iis沒有關閉錯誤提示的，那麼就可以利用報錯方法輕松獲得庫裡面的內容 獲得資料庫連接用戶名：;and user>0 這個是小竹提出來的，我這里引用《SQL注入天書》裡面的一段話來講解： －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－"重點在and user>0，我們知道，user是SQLServer的一個內置變數，它的值是當前連接的用戶名，類型為nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarch" －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－看到這里大家明白了吧，報錯的原理就是利用SQLserver內置的系統表進行轉換查詢，轉換過程會出錯，然後就會顯示出在網頁上，另外還有類似的and 1=(selet top 1 user from admin),這種語句也是可以爆出來的。;and db_name()>0 則是暴資料庫名。 一旦關閉了IIS報錯，那麼還可以用union（聯合查詢）來查內容，主要語句就是 Order by 10 And 1=2 union select 1,2,3,4,5,6,7,8,9,10 from admin And 1=2 union select 1,2,3,user,5,passwd,7,8,9,10 from admin 上面的order by 10主要就是查欄位數目，admin就是表名，可以自己猜，user,passwd是列名 反正就是返回正確即對，返回異常即錯 另外還有十分常用的ascll碼拆半法 先要知道指定列名，例如user里的內容的長度 and (select len(user) from admin)=2 就是查詢長度為不為2位，返回錯誤的增加或減少數字，一般這個數字不會太大，太大的就要放棄了，猜也多餘 後面的邏輯符號可以根據不同要求更改的， >大於 <小於 ＝就是等於咯，更新語句的話，＝也可以表示傳遞符號 <>就是不等 知道了長度後就可以開始猜解了 And (Select top 1 asc(mid(user,n,1)) from admin)>100 n就是猜解的表名的第幾位，最後的長度數字就是剛才猜解出來的列名長度了，And (Select top 1 asc(mid(user,1,1)) from admin)>100 就是猜解user里內容的第一位的ASCLL字元是不是大於100 正確的話，那麼表示USER第一個字元的ASCLL碼大於100，那麼就猜>120，返回錯誤就是介於100－120之間，然後再一步一步的縮少，最終得到正確字元XXX，然後用ASCLL轉換器吧這個轉換成普通字元就可以了 然後就是第二位 And (Select top 1 asc(mid(user,2,1)) from admin)>100 一直猜下去 加在url後面，列名表名還是先猜解，返回正確的代表帳號的ascll碼大於100，那麼就再向前猜，指導報錯，把猜出來的ascll碼拿去ascll轉換器轉換就可以了，中文是負數，加上asb取絕對值 And (Select top 1 asb(asc(mid(user,n,1))) from admin)>15320 得到之後就記得在數字前加-號，不然ASCLL轉換器轉換不來的，中文在ASCLL碼里是-23423這樣的，所以猜起來挺麻煩 這個猜解速度比較慢，但是效果最好，最具有廣泛性 方法2後台身份驗證繞過漏洞 驗證繞過漏洞就是'or'='or'後台繞過漏洞，利用的就是AND和OR的運算規則，從而造成後台腳本邏輯性錯誤 例如管理員的賬號密碼都是admin，那麼再比如後台的資料庫查詢語句是 user=request("user") passwd=request("passwd") sql='select admin from adminbate where user='&'''&user&'''&' and passwd='&'''&passwd&''' 那麼我使用'or 'a'='a來做用戶名密碼的話，那麼查詢就變成了 select admin from adminbate where user=''or 'a'='a' and passwd=''or 'a'='a' 這樣的話，根據運算規則，這里一共有4個查詢語句，那麼查詢結果就是 假or真and假or真，先算and 再算or，最終結果為真，這樣就可以進到後台了 這種漏洞存在必須要有2個條件，第一個：在後台驗證代碼上，賬號密碼的查詢是要同一條查詢語句，也就是類似 sql="select * from admin where username='"&username&'&"passwd='"&passwd&' 如果一旦賬號密碼是分開查詢的，先查帳號，再查密碼，這樣的話就沒有辦法了。 第二就是要看密碼加不加密，一旦被MD5加密或者其他加密方式加密的，那就要看第一種條件有沒有可以，沒有達到第一種條件的話，那就沒有戲了 方法3防禦方法 對於怎麼防禦SQL注入呢，這個網上很多，我這里講幾個 如果自己編寫防注代碼，一般是先定義一個函數，再在裡面寫入要過濾的關鍵詞，如select ; 「」;form;等，這些關鍵詞都是查詢語句最常用的詞語，一旦過濾了，那麼用戶自己構造提交的數據就不會完整地參與資料庫的操作。 當然如果你的網站提交的數據全部都是數字的，可以使用小竹提供的方法 Function SafeRequest(ParaName,ParaType) '--- 傳入參數 --- 'ParaName:參數名稱-字元型 'ParaType:參數類型-數字型(1表示以上參數是數字，0表示以上參數為字元) Dim ParaValue ParaValue=Request(ParaName) If ParaType=1 then If not isNumeric(ParaValue) then Response.write "參數" & ParaName & "必須為數字型！" Response.end End if Else ParaValue=replace(ParaValue,"'","''") End if SafeRequest=ParaValue End function 然後就用SafeRequest（）來過濾參數，檢查參數是否為數字，不是數字的就不能通過。
⑦ 如何接收sql語句執行.的返回值
獲取存儲過程返回值及代碼中獲取返回值
1.OUPUT參數返回值
例： 向Order表插入一條記錄,返回其標識
CREATE PROCEDURE [dbo].[nb_order_insert](
@o_buyerid int ,
@o_id bigint OUTPUT
)
AS
BEGIN
SET NOCOUNT ON;
BEGIN
INSERT INTO [Order](o_buyerid )
VALUES (@o_buyerid )
SET @o_id = @@IDENTITY
END
END
存儲過程中獲得方法：
DECLARE @o_buyerid int
DECLARE @o_id bigint
EXEC [nb_order_insert] @o_buyerid ,o_id bigint
2.RETURN過程返回值
CREATE PROCEDURE [dbo].[nb_order_insert](
@o_buyerid int ,
@o_id bigint OUTPUT
)
AS
BEGIN
SET NOCOUNT ON;
IF(EXISTS(SELECT * FROM [Shop] WHERE [s_id] = @o_shopid))
BEGIN
INSERT INTO [Order](o_buyerid )
VALUES (@o_buyerid )
SET @o_id = @@IDENTITY
RETURN 1 — 插入成功返回1
END
ELSE
RETURN 0 — 插入失敗返回0
END
存儲過程中的獲取方法
DECLARE @o_buyerid int
DECLARE @o_id bigint
DECLARE @result bit
EXEC @result = [nb_order_insert] @o_buyerid ,o_id bigint
3.SELECT 數據集返回值
CREATE PROCEDURE [dbo].[nb_order_select](
@o_id int
)
AS
BEGIN
SET NOCOUNT ON;
SELECT o_id,o_buyerid FROM [Order]
WHERE o_id = @o_id
GO
存儲過程中的獲取方法
（1）、使用臨時表的方法
CREATE TABLE [dbo].[Temp](
[o_id] [bigint] IDENTITY(1,1) NOT FOR REPLICATION NOT NULL,
[o_buyerid] [int] NOT NULL
)
INSERT [Temp] EXEC [nb_order_select] @o_id
– 這時 Temp 就是EXEC執行SELECT 後的結果集
SELECT * FROM [Temp]
DROP [Temp] — 刪除臨時表
（2）、速度不怎麼樣.（不推薦）
SELECT * from openrowset(』provider_name','Trusted_Connection=yes』,'exec nb_order_select』)
1.獲取Return返回值
程序代碼
//存儲過程
//Create PROCEDURE MYSQL
// @a int,
// @b int
//AS
// return @a + @b
//GO
SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings["LocalSqlServer"].ToString());
conn.Open();
SqlCommand MyCommand = new SqlCommand("MYSQL", conn);
MyCommand.CommandType = CommandType.StoredProcere;
MyCommand.Parameters.Add(new SqlParameter("@a", SqlDbType.Int));
MyCommand.Parameters["@a"].Value = 10;
MyCommand.Parameters.Add(new SqlParameter("@b", SqlDbType.Int));
MyCommand.Parameters["@b"].Value = 20;
MyCommand.Parameters.Add(new SqlParameter("@return", SqlDbType.Int));
MyCommand.Parameters["@return"].Direction = ParameterDirection.ReturnValue;
MyCommand.ExecuteNonQuery();
Response.Write(MyCommand.Parameters["@return"].Value.ToString());
2.獲取Output輸出參數值
程序代碼
//存儲過程
//Create PROCEDURE MYSQL
// @a int,
// @b int,
// @c int output
//AS
// Set @c = @a + @b
//GO
SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings["LocalSqlServer"].ToString());
conn.Open();
SqlCommand MyCommand = new SqlCommand("MYSQL", conn);
MyCommand.CommandType = CommandType.StoredProcere;
MyCommand.Parameters.Add(new SqlParameter("@a", SqlDbType.Int));
MyCommand.Parameters["@a"].Value = 20;
MyCommand.Parameters.Add(new SqlParameter("@b", SqlDbType.Int));
MyCommand.Parameters["@b"].Value = 20;
MyCommand.Parameters.Add(new SqlParameter("@c", SqlDbType.Int));
MyCommand.Parameters["@c"].Direction = ParameterDirection.Output;
MyCommand.ExecuteNonQuery();
Response.Write(MyCommand.Parameters["@c"].Value.ToString());
C#接收存儲過程返回值:
public static int User_Add(User us)
{
int iRet;
SqlConnection conn = new SqlConnection(Conn_Str);
SqlCommand cmd = new SqlCommand("User_Add", conn);
cmd.CommandType = CommandType.StoredProcere;
cmd.Parameters.AddWithValue("@UName", us.UName);
cmd.Parameters.AddWithValue("@UPass", us.UPass);
cmd.Parameters.AddWithValue("@PassQuestion", us.PassQuestion);
cmd.Parameters.AddWithValue("@PassKey", us.PassKey);
cmd.Parameters.AddWithValue("@Email", us.Email);
cmd.Parameters.AddWithValue("@RName", us.RName);
cmd.Parameters.AddWithValue("@Area", us.Area);
cmd.Parameters.AddWithValue("@Address", us.Address);
cmd.Parameters.AddWithValue("@ZipCodes", us.ZipCodes);
cmd.Parameters.AddWithValue("@Phone", us.Phone);
cmd.Parameters.AddWithValue("@QQ", us.QQ);
cmd.Parameters.Add("@RETURN_VALUE", "").Direction = ParameterDirection.ReturnValue;
try
{
conn.Open();
cmd.ExecuteNonQuery();
iRet = (int)cmd.Parameters["@RETURN_VALUE"].Value;
}
catch (SqlException ex)
{
throw ex;
}
finally
{
conn.Close();
}
return iRet;
}
C#接收存儲過程輸出參數:
public static decimal Cart_UserAmount(int UID)
{
decimal iRet;
SqlConnection conn = new SqlConnection(Conn_Str);
SqlCommand cmd = new SqlCommand("Cart_UserAmount", conn);
cmd.CommandType = CommandType.StoredProcere;
cmd.Parameters.AddWithValue("@UID", UID);
cmd.Parameters.Add("@Amount", SqlDbType.Decimal).Direction=ParameterDirection.Output;
try
{
conn.Open();
cmd.ExecuteNonQuery();
iRet = (decimal)cmd.Parameters["@Amount"].Value;
}
catch (SqlException ex)
{
throw ex;
}
finally
{
conn.Close();
}
return iRet;
}
//////////////////////////////////////////////////////////////
SQL 2000用戶自定義函數 一。SQL Server 的三種自定義函數
「自定義函數」是我們平常的說法，而「用戶定義的函數」是 SQL Server 中書面的說法。
SQL Server 2000 允許用戶創建自定義函數，自定義函數可以有返回值。
自定義函數分為：標量值函數或表值函數
•如果 RETURNS 子句指定一種標量數據類型，則函數為標量值函數。可以使用多條 Transact-SQL 語句定義標量值函數。
•如果 RETURNS 子句指定 TABLE，則函數為表值函數。
表值函數又可分為：內嵌表值函數（行內函數）或多語句函數
•如果 RETURNS 子句指定的 TABLE 不附帶列的列表，則該函數為內嵌表值函數。
•如果 RETURNS 子句指定的 TABLE 類型帶有列及其數據類型，則該函數是多語句表值函數。
標量值函數示例
CREATE FUNCTION dbo.Foo()
RETURNS int
AS
BEGIN
declare @n int
select @n=3
return @n
END
create function GetSex(@sex int)
returns varchar(2)-- 用nvarchar(1)
as -- nvarchar:不管是一個字元還是一個漢字,都存為2個位元組
begin -- varchar:漢字是2個位元組,其他字元存為1個位元組
declare @ssex varchar(2)-- 用nvarchar(1)
if(@sex=1)
set @ssex='男'
else
set @ssex='女'
return (@ssex)
end
調用：
select id,username,dbo.GetSex(Sex) as sex ,loginnum from t_user
內嵌表值函數示例
CREATE FUNCTION dbo.Foo()
RETURNS TABLE
AS
return select id, title from msgs
內嵌表值函數只有一個 select 語句。
多語句表值函數示例（部分）
CREATE FUNCTION FindUsers (@userid int )
RETURNS @FindUser TABLE (id int primary key, UserName varchar(30), RegDateTime DateTime,LoginNum int)
as
begin
insert into @FindUser Select ID, UserName,RegDateTime,LoginNum From T_User Where ID=@userid
return
end
調用：
SELECT * FROM FindUsers(6)
注意其 RETURNS 部分。
多語句函數的主體中允許使用以下語句。未在下面的列表中列出的語句不能用在函數主體中。
•賦值語句。
•控制流語句。
•DECLARE 語句，該語句定義函數局部的數據變數和游標。
•SELECT 語句，該語句包含帶有表達式的選擇列表，其中的表達式將值賦予函數的局部變數。
•游標操作，該操作引用在函數中聲明、打開、關閉和釋放的局部游標。只允許使用以 INTO 子句向局部變數賦值的 FETCH 語句；不允許使用將數據返回到客戶端的 FETCH 語句。
•INSERT、UPDATE 和 DELETE 語句，這些語句修改函數的局部 table 變數。
•EXECUTE 語句調用擴展存儲過程。
二.如何調用自定義函數
調用自定義函數（用戶定義的函數）和調用內置函數方式基本相同，
•當調用標量值函數時，必須加上「所有者」，通常是 dbo（但不是絕對，可以在企業管理器中的「用戶定義的函數」中查看所有者）。
•當調用表值函數時，可以只使用函數名稱。
示例
SELECT *
select dbo.Sta(cnt) from tbl
示例
SELECT *
FROM fn_MyTableFunc( 123.09, N'O''Neill' )
三。存儲過程和自定義函數的區別
存儲過程（用戶定義的存儲過程）和自定義函數（用戶定義的函數）的區別，在網上已經有討論過，但有些顯得過於零散，有些又篇幅過長不能保證每個人都細心閱讀。這里作一個歸納，當然只是應用層面的，可能不全面。
•存儲過程，功能強大，可以執行包括修改表等一系列資料庫操作，也可以創建為 SQL Server 啟動時自動運行的存儲過程。
•自定義函數，用戶定義函數不能用於執行一組修改全局資料庫狀態的操作。
•存儲過程，可以使用非確定函數。
•自定義函數，不允許在用戶定義函數主體中內置非確定函數。
•存儲過程，可返回記錄集。
•自定義函數，可以返回表變數。
•存儲過程，其返回值不能被直接引用。
•自定義函數，其返回值可以被直接引用。
•存儲過程，用 EXECUTE 語句執行。
•自定義函數，在查詢語句中調用。
⑧ sql注入通俗說到底是什麼意思
一般開發，肯定是在前台有兩個輸入框，一個用戶名，一個密碼，會在後台里，讀取前台傳入的這兩個參數，拼成一段SQL，例如： select count(1) from tab where usesr=userinput and pass = passinput,把這段SQL連接數據後，看這個用戶名/密碼是否存在，如果存在的話，就可以登陸成功了，如果不存在，就報一個登陸失敗的錯誤。對吧。
但是有這樣的情況，這段SQL是根據用戶輸入拼出來，如果用戶故意輸入可以讓後台解析失敗的字元串，這就是SQL注入，例如，用戶在輸入密碼的時候，輸入 '''' ' or 1=1'', 這樣，後台的程序在解析的時候，拼成的SQL語句，可能是這樣的： select count(1) from tab where user=userinput and pass='' or 1=1; 看這條語句，可以知道，在解析之後，用戶沒有輸入密碼，加了一個恆等的條件 1=1，這樣，這段SQL執行的時候，返回的 count值肯定大於1的，如果程序的邏輯沒加過多的判斷，這樣就能夠使用用戶名 userinput登陸，而不需要密碼。
防止SQL注入，首先要對密碼輸入中的單引號進行過濾，再在後面加其它的邏輯判斷，或者不用這樣的動態SQL拼。
⑨ ps.executeUpdate(); 是什麼意思
是當成功插入數據到資料庫時候，這個會返回一個大於1的數字，來表明數據成功插入庫之中
sql注入發生的時間，sql注入發生的階段在sql預編譯階段，當編譯完成的sql不會產生sql注入，採用jdbc操作數據時候，preparedStatement 預編譯對象會對傳入sql進行預編譯。
那麼當傳入id 字元串為 "update ft_proposal set id = 3；drop table ft_proposal；" 這種情況下就會導致sql注入刪除ft_proposal這張表。
預編譯語句
處理使用預編譯語句之外，另一種實現方式可以採用存儲過程，存儲過程其實也是預編譯的，存儲過程是sql語句的集合，將所有預編譯的sql語句編譯完成後，存儲在資料庫上。
當傳入的參數為3；drop table user；當執行時可以看見列印的sql語句為：select name from usre where id = ?；不管輸入何種參數時，都可以防止sql注入，因為mybatis底層實現了預編譯。
⑩ 易語言 SQL語句查找 並給 出返回值
SQL="Select *from Account where loginName='"+編輯框1.內容+"' and amq='"+編輯框2.內容+"'
記錄集1.打開（SQL）
.如果 (記錄集1.記錄數量>0)
信息框（"查找成功"）
.否則
信息框（"查找失敗"）