C#学习教程：防止ASP.NETWeb应用程序上的SQL注入分享

在这些示例中从不需要validation（检查引号等内容），并且永远不应该使用（除少数情况下，白名单可能是合适的）。

所需要的是参数化 。 使用参数而不是连接。

SqlBulkCopy直接处理数据，所以没关系 ：

 SqlConnection cOnn= new SqlConnection(""); string sql = string.Format("INSERT INTO [UserData] (Username, Password, Role, Membership, DateOfReg) VALUES ('" + un.Text + "', '" + pw.Text + "', '" + role.Text + "', '" + ms.Text + "', '" + dor.Text + "')"); --> all *.Text are textboxes on the webpage SqlCommand cmd = new SqlCommand(sql, conn); conn.Open(); cmd.ExecuteNonQuery(); conn.Close(); 

只是要求被滥用。 你的系统被破坏了 。 你应该有类似的东西：

 cmd.CommantText = "INSERT INTO [UserData] (Username, ...) VALUES (@username, ...)"; cmd.Parameters.AddWithValue("Username", un.Text); ... 

或任何其他添加参数的方法。

你的例子4是一个有趣的例子，这是白名单可能适合的例子; SQL Server不允许您参数化列名，但您不能信任来自客户端的值。 如果您需要 “根据输入选择列”，则必须根据预期值进行测试：

 string[] allowedColumns = new[] {"Name", "Description", "Foo", "Bar"}; string colName = ... if(!allowedColumns.Contains(colName)) colName = allowedColumns[0]; // DENIED! 

一旦您按照预期值将列列入白名单，您现在知道该值不是"] where 1=1 drop table Users drop table Customers --"

然而！ 搜索值应该参数化，即

 `... LIKE @searchValue` 

其中searchValue参数的值为"%" + something.Text + "%"

创建SqlCommand并传递数据，因为SqlParameter将为您完成任务

MSDN： SqlCommand.Parameters属性

 private static void UpdateDemographics(Int32 customerID, string demoXml, string connectionString) { // Update the demographics for a store, which is stored // in an xml column. string commandText = "UPDATE Sales.Store SET Demographics = @demographics " + "WHERE CustomerID = @ID;"; using (SqlConnection cOnnection= new SqlConnection(connectionString)) { SqlCommand command = new SqlCommand(commandText, connection); command.Parameters.Add("@ID", SqlDbType.Int); command.Parameters["@ID"].Value = customerID; // Use AddWithValue to assign Demographics. // SQL Server will implicitly convert strings into XML. command.Parameters.AddWithValue("@demographics", demoXml); try { connection.Open(); Int32 rowsAffected = command.ExecuteNonQuery(); Console.WriteLine("RowsAffected: {0}", rowsAffected); } catch (Exception ex) { Console.WriteLine(ex.Message); } } } 

最简单的方法是将参数输入sql命令而不是直接传递。 如果通过参数传递值，.net和Sql将处理传递的数据类型。

例如，请参阅以下内容：

 SelectCommand.CommandText = "Select * From [UserData] where ColumnValue like @RowValue"; SelectCommand.Parameters.AddWithValue("@RowValue","% ActualRowValue %"); 

您可以使用标记添加参数。 请参阅带参数的asp：SqlDataSource select命令

上述就是C#学习教程：防止ASP.NET Web应用程序上的SQL注入分享的全部内容，如果对大家有所用处且需要了解更多关于C#学习教程，希望大家多多关注&＃8212;编程笔记