我们要了解SQL攻击不仅仅是局限在SQL SERVER上面，这一点很重要。其它的数据库，包括Oracle, MySQL, DB2, Sybase等都容易受到这种注入攻击。SQL注入攻击能够得逞是因为SQL语言包含强大的灵活性和有它的的一些特征：

连字符(--)，在SQL中表示注释

能够把多语句拼起来执行

能够从标准配置的系统表中进行进数据查询

通常，数据库都支持一些更为有力的SQL查询语言，所以SQL SERVER数据库数据器经常被攻击，没必要大惊小怪的。

SQL 注入攻击不仅是发生在asp.net程序中，其它的如ASP ，JAVA，JSP和PHP中照样很容易引起攻击。实际上注入攻击。实际上，桌面程序也会受到SQL注入攻击，这一点上它并不见得能好到哪里去。举例，我已经在下载文件中打包了一个WINDOWS FORMS应用程序，名字为SQLINJECTWINFORM，它同样可以被SQL注入（在文章顶头的下载中可以下载到）

虽然可以很容易的指出一个或两个关键的SQL注入防范措施，可是最好我们还是采取分层的方式来解决。如果即便是你的一种方法因为漏洞被黑客绕过了，但是它还是守保护的。建议的总结层，如图4。

<add key="cnxNWindBad"

value="server=localhost;uid=sa;pwd=;database=northwind;" />

<add key="cnxNWindGood"

value="server=localhost;uid=NWindReader;pwd=utbbeesozg4d;

database=northwind;" />

    try {

        // Grab the encrypted connection string and decrypt it

        string strCnx = SecureConnection.GetCnxString("cnxNWindBest");

        // Establish connection to database

        using (SqlConnection cnx = new SqlConnection(strCnx))

        {

            SqlParameter prm;

            cnx.Open();

            // Execute sproc to retrieved hashed password for this user

            string strHashedDbPwd;

            SqlCommand cmd = new SqlCommand("procGetHashedPassword", cnx);

            cmd.CommandType = CommandType.StoredProcedure;

            prm = new SqlParameter("@username", SqlDbType.VarChar,50);

            prm.Direction = ParameterDirection.Input;

            prm.Value = txtUser.Text;

            cmd.Parameters.Add(prm);

            strHashedDbPwd = (string) cmd.ExecuteScalar();

            if (strHashedDbPwd.Length>0) {

                // Verify that hashed user-entered password is the same

                // as the hashed password from the database

                if (SaltedHash.ValidatePassword(txtPassword.Text, 

                    strHashedDbPwd)) {

                    FormsAuthentication.RedirectFromLoginPage(

                        txtUser.Text, false);

                }

                else {

                    lblMsg.Text = "Login attempt failed.";

                }

            }

            else {

                lblMsg.Text = "Login attempt failed.";

            }

        }

    }

    catch {

        lblMsg.Text = "Login attempt failed.";

    }

}