⑴ sql 如何把特殊字符过滤让他插入不进去
那就只能建立个约束，不过你这种字符太多，很麻烦
要不就把这些字符建立一张表，然后用触发器来限制这些字符的插入
------------------
约束那个我简单写一下
altertable表名addconstraint约束名check(字段notlike'%@%'and字段notlike'%$%'and字段notlike'%&%')
反正就是每一个都用and连接
⑵ 防sql注入到底应过滤哪些字符
一般来说，这样处理即可：
所有参数都当作字符串处理，用单引号括起来。另外就是要把字符串中的单引号替换掉。
⑶ sql 如何过滤查询字段结果中的符号
SELECT * FROM a WHERE xh LIKE 'UV[ +]463[ +]c'
只能清理固定出现的空格，可以使用索引。
建议使用固定的编码规则，此类数据筛选会影响查询数据效率。
如此编码定义经常使用而不经常更新，建议建立视图和视图索引。
⑷ sql注入过程中单引号和多个关键字被过滤怎么办
很高兴回答你的问题
SQL注入成功机率和选择注入目标程序安全性有直接关系.单就你的问题和你的思路来说的话,你还可尝试利用 ANSI 字符代码变体来达到目的 比如 " 号对应 chr(34) .
是否成功取决于他本身程序是否也做了过滤.
另:还有很多方法同样可以达到目的的.比如旁注、跨站、截取cookie 等
⑸ SQL字符串过滤 检测是否有危险字符
SQL字符串过滤函数：
public static bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
try
{
if (Str.Trim() != "")
{
string SqlStr = "exec|insert+|select+|delete|update|count|chr|mid|master+|truncate|char|declare|drop+|drop+table|creat+|create|*|iframe|script|";
SqlStr += "exec+|insert|delete+|update+|count(|count+|chr+|+mid(|+mid+|+master+|truncate+|char+|+char(|declare+|drop+table|creat+table";
string[] anySqlStr = SqlStr.Split('|');
foreach (string ss in anySqlStr)
{
if (Str.ToLower().IndexOf(ss) >= 0)
{
ReturnValue = false;
break;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
以下是检测SQL语句中是否包含有非法危险的字符：
/// <summary>
/// 检测是否有Sql危险字符
/// </summary>
/// <param name="str">要判断字符串</param>
/// <returns>判断结果</returns>
public static bool IsSafeSqlString(string str)
{
return !Regex.IsMatch(str, @"[-|;|,|\/|\(|\)|\[|\]|\}|\{|%|@|\*|!|\']");
}
/// <summary>
/// 改正sql语句中的转义字符
/// </summary>
public static string mashSQL(string str)
{
string str2;
if (str == null)
{
str2 = "";
}
else
{
str = str.Replace("\'", "'");
str2 = str;
}
return str2;
}
⑹ sql 查询语句中如何过滤指定的字符
1、语句：SELECT * FROM dbo.Procts WHERE prod_name='king doll' AND prod_price>8。
--检索dbo.Procts表中所有列，过滤条件为由供应商king doll制造价格大于8的所有商品。
注意：--后面的字符是这条语句的注释，这条语句有两个条件，分别用AND关键字联接在一起，并且过滤结果必须满足这两个条件，如果只满足其中一个该数据不会被检索出来。
2、OR操作符（或）
语句：SELECT * FROM dbo.Procts WHERE prod_name='king doll' OR prod_price>8。
--检索dbo.Procts表中所有列，过滤条件为由供应商king doll制造价格大于8的所有商品值。
注意：--这里要说明的是OR操作符与AND操作符的不同之处是只要满足其中一个条件，数值就会被检索出来，例如：由供应商king doll制造价格小于8商品或者由供应商king add制造价格大于8的商品只要其中一个条件符合，数据就被检索出来。
3、IN操作符（指定条件范围）
语句：SELECT * FROM dbo.Procts WHERE prod_name IN ('king doll' ,'Queen dool')。
--检索dbo.Procts表中所有列，过滤条件为由供应商king doll和Queen dool制造的商品。
注意：它的功能其实和OR一样，但是它的执行速度会更快并且简洁，最大的优点是可以包含其他SELECT语句，能够更动态地建立WHERE字句。
⑺ sql server 如何过滤特殊字符
sqlserver没有正则替换太麻烦了。。
⑻ SQL注入 当or、and等常用字符被过滤(less-25)
当常用字符被注释无法使用时，通常采取以下方法（可自行搜索sql注入绕开过滤等）：
如：Or、OR、oR等
如：通过hex、urlencode、url等编码
举例：如果or被过滤时，我们可以采用url编码（其相当于把ascii编码的0x给替换成%，比如o的ascii为0x6f，url编码就是%6f），这个时候我们可以试试%6fr，即把o换成url编码，也可以全换，也可以大小写的换，如果没被过滤就成功了，（如果%被过滤了的话…）
【注：这个可以积极的去使用，比如测试时and被注释，使用&&替换也失败，这个时候不妨试试%26%26（&的url编码）】
如： /* */ （这个不止可以应对字母被注释）
举例：某个过滤器能够过滤的字符如下——“select ”、”from ”、”limit ”等，注意这些字符最后面都有一个空格，这个时候我们就能通过内联注释来绕过这个过滤器，如：
【注：这个注释甚至可以穿插在关键字当中，例如被过滤了or，我们可以把 order by 改成 o/**/rder by ，参考的资料上是这么说，但本人试了没成功，不知是否依旧实用】
比如or被过滤了，我们可以往里面加or，即注入：oorr，这个时候里面的or就被删去了，剩下的组成新字符，也就是or，是个很好用的绕过方法，像这种类似的还有很多，需要我们去思考
如：&&、||
举例：
如盲注时经常用到比较，这时候要是比较符号被注释了不能用平常的方法了，所以需要用某些函数如 greatest() 【 greatest(n1,n2,n3,...) 函数返回输入参数(n1,n2,n3,...)的最大值】、least()等，比如语句： select * from users where id=1 and ascii(substr(database(),0,1))>64 就可以替换成 select * from users where id=1 and greatest(ascii(substr(database(),0,1)),64)=64
【注：当or被注释时，像order by这种含有相关字符的语句也同样无法使用，这个时候如果改变大小写也无用时，可以使用上述的内联注释 /**/ ，或者用别的编码形式，如果不行的话，那就只能放弃使用order by，可以尝试使用group by语句等】
⑼ SQL用什么命令可以一次性把所有的标点符号都去掉求大神说下，在线等，万分感谢
将WD表，word字段内数据含有标点符号 ,（逗号） 替换去除。
update WD set
word = replace(word, ',' ,'');
⑽ SQL 过滤字符字段值
select * from spk where isnumeric(spbh)=0
解释：
ISNUMERIC
确定表达式是否为一个有效的数字类型。
语法
ISNUMERIC ( expression )
参数
expression
要计算的表达式。
返回类型
int
注释
当输入表达式得数为一个有效的整数、浮点数、money 或 decimal 类型，那么 ISNUMERIC 返回 1；否则返回 0。返回值为 1 确保可以将 expression 转换为上述数字类型中的一种。