数据错误如何处理？

发布于 2024-07-22 05:08:45 字数 175 浏览 6 评论 0原文

您如何处理需要限制为一组特定值的用户输入（unicode），并且您希望最大限度地降低将数据传递到下游的应用程序的风险。例如，如果我将数据存储在 SQL 中，我会希望消除任何 SQL 注入的机会。如果我要通过 HTTP 通过网络发送它，我想确保它不会使请求变形，等等。

我想我要问的是有没有通用的数据清理方法？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

神仙妹妹 2024-07-29 05:08:45

当涉及到危害系统的方法时，每个接口都有自己的问题。如果您想安全起见，您将需要定制验证以适应当前上下文中相关的问题和/或威胁。

如果用户界面中的某个文本框应用于数字输入，请确保用户无法在其中键入（或粘贴）任何非数字内容。如果使用某个控件从用户收集日期，请验证给定值确实是有效日期（也许它甚至应该落在某个范围内；也验证这一点）。

确保对在 http 请求中作为查询字符串值传递的任何内容进行 url 编码。使用存储过程并将值作为参数传递给它们。

等等。不幸的是，没有免费的午餐。

回复收藏 0 原文

陌伤ぢ 2024-07-29 05:08:45

如果保存到数据库，这非常简单。只需使用参数（DbParameter 对象） - 它们将保护您免受 SQL 注入，并且还会在必要时添加转义符号。

代码可以是这样的：

OleDbConnection cn = new OleDbConnection(strConn);
cn.Open();
strSQL = "INSERT INTO customers (Name) VALUES (@Name)";
OleDbCommand cmd = new OleDbCommand(strSQL, cn);
cmd.Parameters.Add("@Name", "John O'Brian");
cmd.ExecuteNonQuery();

In case of saving to the database this is very simple. Just use parametes (DbParameter objects) - they will protect you from SQL injection and also will add escape symbols if necessary.

The code can be like this:

OleDbConnection cn = new OleDbConnection(strConn);
cn.Open();
strSQL = "INSERT INTO customers (Name) VALUES (@Name)";
OleDbCommand cmd = new OleDbCommand(strSQL, cn);
cmd.Parameters.Add("@Name", "John O'Brian");
cmd.ExecuteNonQuery();

回复收藏 0 原文

我纯我任性 2024-07-29 05:08:45

就像 nightcoder 所建议的那样，参数是避免 SQL 注入的方法。如果您使用 SQL，请考虑使用 SqlClient 命名空间，因为它比 OleDb 命名空间更高效，并且是专门为 SQL Server 7 及更高版本创建的。

使用 nightcoder 的上述示例：

SqlConnection cn = new SqlConnection(strConn);
cn.Open();
strSQL = "INSERT INTO customers (Name) VALUES (@Name)";
SqlCommand cmd = new SqlCommand(strSQL, cn);
cmd.Parameters.Add(new SqlParameter("@Name", SqlDbType.Varchar)).Value = "John O'Brian";
cmd.ExecuteNonQuery();

关于 SqlClient 命名空间，需要记住的一点是，如果您正在为较旧的系统（Win98）编写代码，那么可能会存在兼容性问题，从而使 OldDBxxx 成为更好的选择。

干杯!

Like nightcoder has suggested, parameters are the way to avoid SQL injection. If you're using SQL though, consider using the SqlClient namespace as it is more efficient than its OleDb counterpart and was created specifically for SQL Server 7 and up.

Using nightcoder's above example:

SqlConnection cn = new SqlConnection(strConn);
cn.Open();
strSQL = "INSERT INTO customers (Name) VALUES (@Name)";
SqlCommand cmd = new SqlCommand(strSQL, cn);
cmd.Parameters.Add(new SqlParameter("@Name", SqlDbType.Varchar)).Value = "John O'Brian";
cmd.ExecuteNonQuery();

Something to keep in mind about the SqlClient namespace is that if you're writing for older systems (Win98), then there may be compatibility issues, making OldDBxxx the better choice.

Cheers!

回复收藏 0 原文

~没有更多了~