.NET 中的 SQL 注入

Question

大家好，我想知道是否有人知道一些详细介绍 .NET Web 应用程序 SQL 注入预防的好网站。 任何资源都将得到极大的利用，谢谢。

Answer 1

我认为，如果您在 google 上搜索一下“防止 .NET 中的 sql 注入”，您会发现很多好的资源。 :)

不管怎样，一件非常重要的事情是不要使用字符串连接来构建查询。
相反，使用参数化查询。 ADO.NET 允许以非常简单的方式执行此操作：

string sql = "SELECT * FROM Persons WHERE Persons.Lastname LIKE @p_Name";

SqlCommand cmd = new SqlCommand (sql);

cmd.Parameters.Add ("@p_Name", SqlDbType.Varchar).Value = textBox1.Text + "%";

Answer 2

如果您使用 SqlCommand.Parameters 集合来传递参数并且从不将用户文本注入到 Sql 查询文本中，则没有风险。

Answer 3

• 黄金法则：
• 如果您在 .NET 中编写自己的命令字符串，则
• 永远不要连接用户输入；如果您使用 LINQ，则使用参数集合；如果您在 TSQL 中编写命令，它通常会为您完成此操作
• ，使用 sp_executesql 或您的供应商的等效项

Answer 4

首先要知道的是参数化你的查询或使用存储过程......

永远不要在代码中使用临时sql，你只附加值

只给出读和写权限（或者只读取那些不应该写的页面）

Answer 5

MSDN 杂志文章 在 SQL 注入攻击阻止您之前阻止它们似乎是相当完整。

尽管包含有关您的具体问题的不太详细的信息，SDL 拥抱网络除了防止 SQL 注入攻击之外，这是您应该考虑的其他事情的一个很好的来源。

通常的免责声明适用，我不一定同意这些文章中提供的所有信息，但所提供的信息有望让您思考如何在公共网站上减轻 SQL 注入（和其他）攻击。