防止 ASP.Net 中的 SQL 注入

Question

我有这段代码，

UPDATE OPENQUERY (db,'SELECT * FROM table WHERE ref = ''"+ Ref +"'' AND bookno = ''"+ Session("number") +"'' ') 

如何防止 SQL 注入？

更新

这是我正在尝试的内容

SqlCommand cmd = new SqlCommand("Select * from Table where ref=@ref", con); 
cmd.Parameters.AddWithValue("@ref", 34);

出于某种原因，我尝试添加的所有内容似乎都不起作用，我不断收到下面提到的SQL Command。

错误是

'SqlCommand' is a type and cannot be used as an expression

我正在接管别人的工作，所以这对我来说是全新的，我希望以正确的方式做事，所以如果有人可以提供更多关于如何使我的查询免受 SQL 注入安全的帮助，那么请这样做。

更新号 2

我在代码中添加了 VasilP 所说的

Dim dbQuery As [String] = "SELECT * FROM table WHERE ref = '" & Tools.SQLSafeString(Ref) & "' AND bookno = '" & Tools.SQLSafeString(Session("number")) & "'"

但我收到错误工具未声明 我需要指定某个命名空间才能使其工作吗？

更新

有没有人知道如何最好地让我的查询免受 SQL 注入的影响，而又不会出现我遇到的错误？

更新

我现在有了它，所以它可以在没有参数的情况下工作，这是我更新的源代码，知道为什么它不会添加参数值吗？

Dim conn As SqlConnection = New SqlConnection("server='server1'; user id='w'; password='w'; database='w'; pooling='false'")
   conn.Open()


Dim query As New SqlCommand("Select * from openquery (db, 'Select * from table where investor = @investor ') ", conn)
query.Parameters.AddWithValue("@investor", 69836)

dgBookings.DataSource = query.ExecuteReader
dgBookings.DataBind()

它的工作原理如下

Dim conn As SqlConnection = New SqlConnection("server='server1'; user id='w'; password='w'; database='w'; pooling='false'")
   conn.Open()


Dim query As New SqlCommand("Select * from openquery (db, 'Select * from table where investor = 69836') ", conn)

dgBookings.DataSource = query.ExecuteReader
dgBookings.DataBind()

我收到的错误是这样的

An error occurred while preparing a query for execution against OLE DB provider 'MSDASQL'. 

这是因为它没有用 69836 替换 @investor

有什么想法吗？

解决方案

这是我解决问题的方法

Dim conn As SqlConnection = New SqlConnection("server='h'; user id='w'; password='w'; database='w'; pooling='false'")

conn.Open()

Dim query As New SqlCommand("DECLARE @investor varchar(10), @sql varchar(1000) Select @investor = 69836 select @sql = 'SELECT * FROM OPENQUERY(db,''SELECT * FROM table WHERE investor = ''''' + @investor + ''''''')' EXEC(@sql)", conn)

dgBookings.DataSource = query.ExecuteReader
dgBookings.DataBind()

现在我可以编写查询而不必担心 SQL 注入

Answer 1

尝试使用参数化查询这里是一个链接http://www.aspnet101.com/2007/03 /parameterized-queries-in-asp-net/

另外，不要使用 OpenQuery...使用它来运行选择

SELECT * FROM db...table WHERE ref = @ref AND bookno = @bookno

---

更多描述您的选项的文章：

http://support.microsoft.com/kb/314520

连接到另一个 SQL Server 的 T-SQL 语法是什么？

---

<注意

：您最初的问题是询问分布式查询和链接服务器。这个新语句不引用分布式查询。我只能假设您现在直接连接到数据库。这是一个应该有效的示例。
这是使用 SqlCommand.Parameters 的另一个参考站点

SqlCommand cmd = new SqlCommand("Select * from Table where ref=@ref", con); 
cmd.Parameters.Add("@ref", SqlDbType.Int);
cmd.Parameters["@ref"] = 34;

---

已编辑：

好的，杰米·泰勒，我会再次尝试回答您的问题。

您正在使用 OpenQuery，因为您可能正在使用链接数据库

基本上，问题是 OpenQuery 方法采用一个字符串，您无法将变量作为发送到 OpenQuery 的字符串的一部分传递。

您可以像这样格式化您的查询。符号遵循服务器名称.数据库名称.架构名称.表名称。如果您通过 odbc 使用链接服务器，则省略数据库名称和架构名称，如下所示

    Dim conn As SqlConnection = New SqlConnection("your SQL Connection String")
    Dim cmd As SqlCommand = conn.CreateCommand()
    cmd.CommandText = "Select * db...table where investor = @investor"
    Dim parameter As SqlParameter = cmd.CreateParameter()
    parameter.DbType = SqlDbType.Int
    parameter.ParameterName = "@investor"
    parameter.Direction = ParameterDirection.Input
    parameter.Value = 34

Answer 2

使用参数而不是连接 SQL 查询。

假设您的数据库引擎是 SQL Server，下面是一段代码，希望对您有所帮助。

Using connection As SqlConnection = new SqlConnection("connectionString")
    connection.Open()

    Using command As SqlCommand = connection.CreateCommand()
        string sqlStatement = "select * from table where ref = @ref and bookno = @bookno";
        command.CommandText = sqlStatement
        command.CommandType = CommandType.Text

        Dim refParam As SqlDataParameter = command.CreateParameter()
        refParam.Direction = ParameterDirection.Input
        refParam.Name = "@ref"
        refParam.Value = Ref

        Dim booknoParam As SqlDataParameter = command.CreateParameter()
        booknoParam.Direction = ParameterDirection.Input
        booknoParam.Name = "@bookno"
        booknoParam.Value = Session("number")

        Try
            Dim reader As SqlDataReader = command.ExecuteQuery()
            ' Do your reading job here...'
        Finally
            command.Dispose()
            connection.Dispose()
        End Try
    End Using
End Using

总而言之，不惜一切代价避免 SQL 语句串联，并使用参数化查询！

以下是 MSDN 上一个有趣的链接，可帮助您解决 SQL 注入问题：

如何：防止 ASP.NET 中的 SQL 注入

Answer 3

使用 sql 参数，例如：

SqlCommand cmd = new SqlCommand("Select * from Table where id=@id", con);
cmd.Parameters.AddWithValue("@id", 34);

Answer 4

您可以使用参数化查询。

http://www.functionx.com/aspnet/sqlserver/parameterized.htm

Answer 5

SqlCommand cmd = new SqlCommand("Select * from Table where ref=@ref", con); 
cmd.Parameters.AddWithValue("@ref", 34);

它不起作用，因为它是用 C# 编写的，而不是 VB。

尝试类似的东西

Dim cmd As New SqlCommand("Select * from Table where ref=@ref", con)
cmd.Parameters.AddWithValue("ref", 34)

Answer 6

我首选的方法是让 Visual Studio 通过创建 DAL 来处理这一切：
http://www.asp.net/data -access/tutorials/creating-a-data-access-layer-cs

Answer 7

使用 LINQ。它自动参数化查询。

Answer 8

查看 ORM 作为替代方案（如果您正在构建中等程度的东西，这是一个很好的方法 -大小或大）。配置它需要一点时间，但是开发变得非常快。您可以从本机中选择 Linq to SQL 或实体框架，或者，尝试任何其他适用于 .NET 的 ORM。