使用 ASP.net 保存用户代理时避免 SQL 注入

Question

我正在保存用户的浏览器用户代理以用于统计目的。

如您所知，用户代理是可以修改的。我想知道我是否应该采取措施来防止 SQL 注入。

我正在使用存储过程进行插入。

非常感谢。

Answer 1

在存储过程中使用参数或使用参数使用动态 SQL。

这是来自 MSDN 的示例：

  SqlDataAdapter dataAdapter = new SqlDataAdapter(
       "SELECT CustomerID INTO #Temp1 FROM Customers " +
       "WHERE CustomerID > @custIDParm; SELECT CompanyName FROM Customers " +
       "WHERE Country = @countryParm and CustomerID IN " +
       "(SELECT CustomerID FROM #Temp1);",
       connection);
  SqlParameter custIDParm = dataAdapter.SelectCommand.Parameters.Add(
                                          "@custIDParm", SqlDbType.NChar, 5);
  custIDParm.Value = customerID.Text;

  SqlParameter countryParm = dataAdapter.SelectCommand.Parameters.Add(
                                      "@countryParm", SqlDbType.NVarChar, 15);
  countryParm.Value = country.Text;

  connection.Open();
  DataSet dataSet = new DataSet();
  dataAdapter.Fill(dataSet);

Answer 2

使用准备好的语句。确保对所有 SQL 操作使用准备好的语句，即使数据来自数据库。