ASP ，SQL注入点怎样处理

asp防注入代码都加了，还是能扫描出存在注入点，请问哪位大虾，从程序这块给我点建议，产生SQL注入的原因

程序中使用@id 类似于这样的传递参数.有效避免攻击.

string sql="select ....where id=@id";

cmd.Parameters.Add("@id", SqlDbType.Int).Value = 值;

把所有地址栏传的参数（用于查数据库）

都过滤一下

再加上js过滤地址栏参数

<% dim qs,errc,iii qs=request.servervariables("query_string") redim nothis(18) nothis(0)="net user" nothis(1)="xp_cmdshell" nothis(2)="/add" nothis(3)="exec%20master.dbo.xp_cmdshell" nothis(4)="net localgroup administrators" nothis(5)="select" nothis(6)="count" nothis(7)="asc" nothis(8)="char" nothis(9)="mid" nothis(10)="'" nothis(11)=":" nothis(12)="""" nothis(13)="insert" nothis(14)="delete" nothis(15)="drop" nothis(16)="truncate" nothis(17)="from" nothis(18)="%" errc=false for iii= 0 to ubound(nothis) if instr(qs,nothis(iii))<>0 then errc=true end if next if errc then response.write "<script language=""javascript"">" response.write "parent.alert('非法操作!您提交了错误的信息...');" response.write "self.location.href=' http://www.qhdedu.com/default.asp';" response.write "</script>" response.end end if %>

妳先了解下甚么叫SQL注入。 http://baike.baidu.com/view/3896.htm?fr=ala0