建议尽量用存储过程！另外，有SQL注入检测代码，原理是将客户端提交的数据进行检测，有敏感字符则能检测到即给出提示并终止执行。加了后基本就OK了。
写好防注入SQL语句
你看一下数据语句，如果是那些拼接的数据语句，就有可能发生sql注入式攻击
