sql注入

sql参数必须参数化，否则，有心者可以通过参数对数据库可以做一些非常可怕的事情；

例如：

后台sql如果是拼接的，比如：select  * from table where g_id=Context.Request["g_id"];

请求url:http://localhost:64065/Handler/TemplateHandler.ashx?Action=GetGridConfigInfo&g_id=1CBC2F32-77F9-484B-B507-5B4C1BD24998

在参数后添加

' or 1=1;delete from 表名--

就可以把表