sql通用高效分页代码(存储过程是带有sql注入)(1/2)
2020-11-09
来源：东饰资讯网
我们可以假定用户输入的模糊用户名是: jim's dog
我们用sqlparameter传递参数给分页存储过程@strwhere 的值是：'username like ‘'%jim'' dog%'''(注意like后边的字符串中的单引号已经全部变成两个单引号了)，我们将这个值代入上面的@strsql赋值语句中,如下：
让我们写上声明变量的部分执行在查询分析器中测试一下，代码如下：
declare @strsql varchar(8000)declare @strwhere varchar(1000)
set @strwhere = 'username like ''%jim'' dog%'''
set @strsql = 'select top 20 * from [useraccount] where ' + @strwhere + ' order by id desc'
print @strsql
exec (@strsql)
显示全文