参数化查询如何帮助防止 SQL 注入？

Question

在查询 1 和 2 中，文本框中的文本都被插入到数据库中。这里参数化查询有什么意义呢？

1. 将 txtTagNumber 作为查询参数传递

   SqlCommand cmd = new SqlCommand("INSERT INTO dbo.Cars " +"VALUES(@TagNbr);" , conn);
   cmd.Parameters.Add("@TagNbr", SqlDbType.Int);
   cmd.Parameters["@TagNbr"].Value = txtTagNumber.Text;
   

2. 在构建查询之前将 txtTagNumber 转换为整数

   int tagnumber = txtTagNumber.Text.ToInt16(); /* 编辑 */
   插入汽车值（tagnumber.Text）； /* 那么是一样的吗？ */
   

另外，这里我将使用正则表达式验证来阻止插入非法字符。

Answer 1

参数化查询在运行 SQL 查询之前对参数进行正确的替换。它完全消除了“脏”输入改变查询含义的可能性。也就是说，如果输入包含 SQL，它就不能成为执行内容的一部分，因为 SQL 永远不会注入到结果语句中。

Answer 2

想象一个动态 SQL 查询

sqlQuery='SELECT * FROM custTable WHERE User=' + 用户名 + ' AND
密码='+密码

因此，一个简单的 SQL 注入只需将用户名作为 ' 或
1=1--这将有效地进行sql查询：

sqlQuery='SELECT * FROM custTable WHERE User='' OR 1=1-- ' AND PASS='
+ 密码

这表示选择用户名为空 ('') 或的所有客户
1=1，这是一个布尔值，相当于 true。然后用--来注释
查询的其余部分。所以这只会打印出所有
客户表，或者用它做任何你想做的事情，如果登录的话，它
将使用第一个用户的权限登录，这通常可以是
管理员。

现在参数化查询的做法有所不同，代码如下：

sqlQuery='SELECT * FROM custTable WHERE User=?并通过=？'

parameters.add("用户", 用户名)parameters.add("密码", 密码)

其中用户名和密码是指向关联的变量
输入的用户名和密码

现在，您可能会想，这不会改变任何事情
根本不。当然，您仍然可以直接输入用户名字段
像Nobody OR 1=1'--这样的东西，有效地进行查询：

sqlQuery='SELECT * FROM custTable WHERE User=Nobody OR 1=1'-- AND
通过=？'

这似乎是一个有效的论点。但是，你错了。

参数化查询的工作方式是将 sqlQuery 作为
查询，并且数据库确切地知道该查询将做什么，并且
只有这样，它才会将用户名和密码仅作为值插入。
这意味着他们无法影响查询，因为数据库已经
知道查询将做什么。所以在这种情况下它会寻找
“Nobody OR 1=1'--”的用户名和空白密码，应该出现
错误。




来源：lavamunky.com； 2011 年 11 月

Answer 3

当可能的参数中包含 SQL 并且字符串没有按应有的方式处理时，就会发生 SQL 注入，例如

：

var sqlquerywithoutcommand = "select * from mytable where rowname =  '" + condition+''";

并且条件是来自请求中的用户的字符串。如果条件是恶意的
例如：

var sqlquerywithoutcommand = "select * from mytable where rowname =  '" + "a' ;drop table  mytable where '1=1"+"'";

您最终可能会运行恶意脚本。

但是，使用参数，输入将清除任何可能转义字符串字符的字符，这意味着您可以确保无论输入什么内容都将无法运行注入脚本。

使用带有参数的命令对象，实际执行的 SQL 看起来像这样：

select * from mytable where rowname = 'a'';drop table mytable where 1=1'''

本质上它将查找 rowname = a';drop table mytable where 1=1' 的行
并且不运行剩余的脚本。

Answer 4

参数化查询可以处理一切 - 为什么要这么麻烦呢？

通过参数化查询，除了一般注入之外，您还可以获得处理的所有数据类型、数字（int 和 float）、字符串（带有嵌入的引号）、日期和时间（当不调用 .ToString() 时，不会出现格式问题或本地化问题由于文化不变，您的客户转移到具有意外日期格式的机器）。

Answer 5

参数化查询允许客户端从查询文本中单独传递数据。
在大多数没有文本的地方，您可以进行验证+转义。
当然，参数化对于其他类型的注入没有帮助，但由于参数是单独传递的，因此它们不用作执行文本查询。

一个很好的类比是大多数现代处理器和操作系统使用的“最近”执行位，以防止缓冲区溢出。它仍然允许缓冲区溢出，但阻止注入数据的执行。

Answer 6

人们为什么会有这样的感觉是完全可以理解的。

sqlQuery = "select * from users where username='+username+';"

vs

sqlQuery = "select * from users where username=@username;"

上面的两个查询似乎做了同样的事情，但实际上却没有。

前者使用输入进行查询，后者决定查询，但仅替换查询执行期间的输入。

更清楚地说，参数的值位于堆栈上存储变量内存的某个位置，并在需要时用于搜索。

因此，如果我们将 ' OR '1'='1 作为用户名的输入，则前者将动态构造一个新的查询或作为 sql 查询的一部分的查询然后执行的字符串sqlQuery。

在同一输入上，后者将在 users 表的 username 字段中搜索 ' OR '1'='，并使用 静态在查询字符串sqlQuery中指定查询

只是为了巩固它，这是您使用参数进行查询的方式：

SqlCommand command = new SqlCommand(sqlQuery,yourSqlConnection);

SqlParameter parameter = new SqlParameter();
parameter.ParameterName = "@username";
parameter.Value = "xyz";

command.Parameters.Add(parameter);