使用 SQL 参数保护我的应用程序免受注入攻击

Question

我无法在 Delphi 中使用 SQL 参数，如果我尝试使用它们来保护我的登录表单，则会在登录时收到以下错误

[0x0005]不支持的操作

我正在使用的代码是：

SQLQuery1.SQL.Text := 'SELECT * FROM registered WHERE email= :Email'+
                      ' and login_pass= :Password';
SQLQuery1.ParamByName('email').AsString := Email;
SQLQuery1.ParamByName('password').AsString := Password;

SQLQuery1.Open; // Open sql connection
if SQLQuery1.recordCount >0 then form2.Show;

但它不起作用，下面的代码可以正常工作，但它总是不安全：

SQLQuery1.SQL.Text := 'SELECT * FROM registered WHERE email="'+Email+
                      '" and login_pass= "'+Password+'"';

我正在使用 TMySQLConnection 和 TMySQLQuery组件，将 ParamsCheck 设置为 True，并使用上面提到的第一个代码，该代码不起作用，如何纠正该问题！

任何建议或帮助将不胜感激。

谢谢

Answer 1

检查“RecordCount”的帮助。如果数据集无法确定返回的记录数，则可能会引发异常。如果删除它并简单地检查数据集是否为 IsEmpty 会怎样？

Answer 2

使用加盐哈希值进行密码检查
在数据库中存储未加密的密码是绝对不允许的。
使用加盐哈希代替：

SELECT * FROM registered WHERE email = :email 
AND passhash = SHA2(CONCAT(salt,:password),512)

您可以通过执行以下操作将密码哈希存储在数据库中：

INSERT INTO registered (email, passhash, salt) 
VALUES (:email, SHA2(CONCAT(:salt,:password),512), :salt)  

盐不需要是真正随机的，但它确实需要有点随机并且对于每个用户来说都是不同的。