将 SqlConnection 对象作为单个可执行文件的属性是否存在风险？

Question

我的设计习惯是让子窗体填充一个 SqlConnection 对象，显示子窗体，建立 SqlConnection 对象并将填充的对象传递回父窗体以继续执行。 .NET 2.0 及更高版本 0 如下：

父表单：

public SqlConnection sqlcon; //should be property but made it public for this example
public MainForm_Load(object sender, EventArgs e)
{
    Login frm = new Login(this);
    frm.ShowDialog();
    if (this.sqlcon == null)
    {   //no login
        this.Close();
    }
    //else, continue execution

}

登录表单：

Mainform parent;
public Login(RandomParade frm)
{
    InitializeComponent();
    parent = frm;
}

private void btnOK_Click(object sender, EventArgs e)
{
    //code to capture login details from textboxes
    //test connection       
    parent.sqlcon = new SqlConnection("connection string with login details here");
    this.Close();

}

由于它被编译为单个可执行文件（dll 访问修饰符单独处理等...），因此公开 sqlConnection 对象会带来安全风险吗？有人可以在运行时获取信息吗？ 将登录信息传递到“主”表单的更好实现是什么？

Answer 1

由于 .NET 在内部维护一个连接池（除非关闭），您应该传递 连接字符串相反，并在创建新连接时使用它。
这允许您通过为您需要执行的所有操作（例如相对于批处理）创建新连接来保持连接信息“线程安全”。

连接在运行时不存在被劫持的风险，因为这应该全部很好地捆绑到应用程序域中。 （有很多方法，但那是另一个讨论）。

它可能看起来效率很低，但由于后台池，传递连接字符串效果很好。

因此，回答您的问题：实际上并没有安全风险，但存在线程安全风险，因此请传递连接字符串而不是连接。这会让你运行得更顺畅。
另外，请记住在使用完 SqlConnection 和 SqlCommand 后将其丢弃；）