1  URL SQL INJECTION    通过url参数 sql注入，还是通过Request[""]  过滤下吧，
2 回复的问题，应该要过滤掉html  要是别人随便填上一段script  这样的话。。。

    3 文件上传的问题，禁用掉这个目录的执行权限，不然人家上传一个aspx....具体做法是在该目录加一个web.config

    <system.webserver>
        <handlers accesspolicy="Read">
            <br/>
        </handlers>
    </system.webserver>