SqlCommand .Parameters 竟然有防止sql注入攻击的功能吗？

unling 2009-04-27 11:27:42

    public static int  GetUser(string name)

        {

            try

            {

                DataTable dtData = new DataTable();

                SqlConnection sqlc = Connect();



                //这样写法错误 比如传入的参数是  1 ' or '1'='1  将会把表emploreer 中所有数据都删除掉or '1'='1 总会成立

                //string strSql = "delete from emploreer where username='"+name+"'";



                //我这样写用了Parameters 竟然删除条数为0就是没有被全部删除掉

                string strSql = "delete from emploreer where username=@p1";



                SqlCommand sqlcom = new SqlCommand(strSql, sqlc);

                sqlcom.Parameters.Add("@p1", SqlDbType.VarChar, 50);

                sqlcom.Parameters["@p1"].Value = name;

             

                sqlc.Open();

                int c = sqlcom.ExecuteNonQuery();

                sqlc.Close();

                return c;

            }

            catch (Exception ex)

            {

                

                throw;

            }

           

        }

SqlCommand .Parameters 竟然有防止sql注入攻击的功能吗？还试巧合

...全文

323 17 打赏收藏转发到动态举报

写回复

用AI写文章

17 条回复

切换为时间正序

请发表友善的回复…

发表回复

unling 2009-04-28

打赏
举报

[Quote=引用 16 楼 starfd 的回复:]
引用 10 楼 xzsnj 的回复:
有所悟，以前还真是没有注意到区别，那不知道用

string.format("delete from emploreer where username='{0}'",name)

会有什么结果，楼主试验一下看看

' or 1=1 or '' = '

把你所有的数据全部删光~~~~ohye
[/Quote]

string.format("delete from emploreer where username='{0}'",name) ;

string strSql = "delete from emploreer where username='"+name+"'";

两个一样都是会全部删掉数据

娃都会打酱油了 2009-04-28

打赏
举报

[Quote=引用 10 楼 xzsnj 的回复:]
有所悟，以前还真是没有注意到区别，那不知道用

string.format("delete from emploreer where username='{0}'",name)

会有什么结果，楼主试验一下看看
[/Quote]
' or 1=1 or '' = '

把你所有的数据全部删光~~~~ohye

娃都会打酱油了 2009-04-28