输入文本框限制长度,够用就行; 不要直接使用字符串构造SQL命令,应该用SQLDataSource等控件或着参数构造命令,它们会帮你过滤有威胁的字符; 用Session 而不是Request,尽量不要暴露网页参数。并且一定要检查传递的参数,比如ID可以转换数字再转换成String使用;