这样能防止注入式攻击吗

[oydj]

cmd.CommandText = "select username from log where username=@username and id=" + int.Parse(id) ;
cmd.Parameters.Add(new SqlParameter("@username",SqlDbType.VarChar,16));
cmd.Parameters["@username"].Value=user;


id这个参数因为只能限制是数字，不存在安全性问题所以直接字符串拼贴，而username这个是用Parameters,也就是说是混合型.

请问这样能防止注入吗?
还有求一个完善的防注入过滤函数.

[cpp2017]

为什么username用了参数 而id不用呢? 都用参数就可.

[vicqqq]

lz也太懒了

[Eray]

1 更好的逻辑判断
2 存储过程

至于LZ这个，不明白为什么不都用参数而是混合着来……

[oydj]

为了方便起见,因为现在目前是一个人在写一个较为庞大的程序，能节省的代码就节省.
这样到底能有效防止注入攻击吗?

[cpp2017]

这样写注入是不可能, 但要判断id的值不是合法int的情形.

[mangshuo]

cmd.CommandText = "select username from log where username=@username and id=" + int.Parse(id) ;
cmd.Parameters.Add(new SqlParameter("@username",SqlDbType.VarChar,16));
cmd.Parameters["@username"].Value=user;



把ID一起传过去...这样就不能注入了....

[oydj]

恩,id是否为非数字我在程序其他地方也做过判断的.

其他非数字型参数就用SqlParameter

主要问的就是这样混合式的查询是否能防注入.

[KKND2006]

你这样自己都会迷惑的

不如统一用参数化命令

[cpp2017]

主要问的就是这样混合式的查询是否能防注入. ==> 不能注入.

[sunzhong2003]

可以