* 登陆判断：select * from T_Users where UserName=... and Password=...,将参数拼到SQL语句中。
*构造恶意的Password: 'or'1'='1
if(reader.Read())
{
Response.Write("登录成功！");
}
else
{
Response.Write("登录失败！");
}
* 防范注入漏洞攻击的方法：不使用SQL语句拼接，通过参数赋值。
* SQL语句使用@UserName表示“此处用参数代替”，向SqlCommand的Patameters中添加参数
cmd.CommandText="select * from T_User where UserName=@UserName and Password=@Password";
cmd.Parameters.Add(new SqlParameters("UserName","bobo"));
cmd.Parameters.Add(new SqlParameters("Password","123"));
*参数在SQLServer内部不是简单的字符串替换，SQLServer直接用添加的值进行数据比较，因此不会有注入漏洞攻击