这种写法是不是无法避免sql注入？

[xingshungames]

using System;
using System.Collections;
using System.Text;
using System.Data;
using Microsoft.ApplicationBlocks.Data;
using System.Data.SqlClient;

namespace ClothingCode
{
    /// <summary>
    /// 管理员后台对网站广告的添加和删除
    /// </summary>
    public class AD
    {
        /// <summary>
        /// 添加广告
        /// </summary>
        /// <param name="c_AD">广告实体</param>
        public void InsertAD(ClothingCode.ADEntity c_AD)
        {
            string sqlString = "insert into [C_AD](ADTitle,ADContent,ADType,ADPhoto,ADUrl)" +
                                     "values(N'" + c_AD.ADTitle + "',N'" + c_AD.ADContent + "'," + c_AD.ADType + ",N'" + c_AD.ADPhoto + "',N'" + c_AD.ADUrl + "')";
            object obj = SqlHelper.ExecuteNonQuery(ClothingCode.ClothingSystem.ConnString, CommandType.Text, sqlString);
        }

        /// <summary>
        /// 删除广告
        /// </summary>
        /// <param name="c_AD">广告实体</param>
        public void DeleteADAdmin(ClothingCode.ADEntity c_AD)
        {
            string sqlString = "delete from C_AD where ADID=" + c_AD.ADID + "";
            SqlHelper.ExecuteNonQuery(ClothingCode.ClothingSystem.ConnString, CommandType.Text, sqlString);
        }
    }
}

如题，这种写法是不是和
select * from User where UserName='"+txtUserName+"' 属于同一种类型？都无法避免注入？

[随风落梦]

是非常容易被SQL注入的！

[feiguohaixia]

用 SqlParameter 传参,或是用存储过程,这种方法用时限制字符长度,验证特殊字符,关键字,字符类型,但最好别用

[yinsummer]

应该用参数传递形式的

[qq2013]

引用 9 楼 feiguohaixia 的回复:

用 SqlParameter 传参,或是用存储过程,这种方法用时限制字符长度,验证特殊字符,关键字,字符类型,但最好别用

ding

[jingherong]

这中写法确实很容易注入的！

[mail_ricklee]

1.SqlParameter,OraclParameter
2.IBatisNet,NHibernate
3.Linq

参考FortuneBase
参考地址www.cnblogs.com/mail-ricklee

[kengqiangxianv]

 public static string FilterVal(string Val)
    {
        if (string.IsNullOrEmpty(Val))
            return "";
        string value = Val;
        //防SQL注入
        value = value.Replace("'", "");
        value = value.Replace("--", "");
        value = value.Replace(";", "；");
        //过滤JS和HTML
        value = value.Replace("&", "&");
        value = value.Replace("<", "<");
        value = value.Replace(">", ">");
        value = value.Replace("\"", """);
        value = value.Replace("'", "'");
        return value;
    }

最好把你的sql语句写在存储过程里面，如果非要写在代码里面上面的方法可以帮你过滤掉某些特定字符。最后还是劝告写在存储过程里面。

[swalp]

很难避免的，我自己做了一个试了一试，可以注入！

[supersyd]

对传入的参数 编码即可。

[xiaoheixiaobai]

对于string sqlString = "delete from C_AD where ADID=" + c_AD.ADID + "";如果不采取措施避免注入，
假如，用户输入“ 0 or 1=1 ”,语句就变成了“delete from C_AD where ADID=0 or 1=1 ”,
假如，用户输入“ 0;drop C_AD;”语句就变成了“delete from C_AD where ADID=0;drop C_AD;”
那数据损失是很大的。

[kele1006]

引用 3 楼 fangfangok 的回复:

1.使用存储过程.传递参数 sqlparameter[] sp={ new sqlparameter("@id",id)}
2.过滤敏感字符比如：' --  delete from 等等。可以写一个过滤的类  replace
  在需要过滤的地方直接调用。

Insert,Update,Delete,Query等都可以使用使用sqlparameter，您可以使用CodeSmith等工具直接生成

[yang_5]

顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶

[jin225]

public void InsertAD(ClothingCode.ADEntity c_AD)
{
string sqlString = "insert into [C_AD](ADTitle,ADContent,ADType,ADPhoto,ADUrl)" +
"values(N'" + c_AD.ADTitle + "',N'" + c_AD.ADContent + "'," + c_AD.ADType + ",N'" + c_AD.ADPhoto + "',N'" + c_AD.ADUrl + "')";
object obj = SqlHelper.ExecuteNonQuery(ClothingCode.ClothingSystem.ConnString, CommandType.Text, sqlString);
}

加个N好像是编码的问题吧 如果服务器是英文的操作系统的，前面不加个N插入数据库的话 就会乱码
这样 好像不可以防注入的吧 ！ 对方注入一点用处都没有

[xingshungames]

public void InsertAD(ClothingCode.ADEntity c_AD)
{
string sqlString = "insert into [C_AD](ADTitle,ADContent,ADType,ADPhoto,ADUrl)" +
"values(N@ADTitle,N@ADContent,@ADType,N@ADPhoto,N@ADUrl)";
SqlParameter sqlParamList = new sqlParamList[]
{
new SqlParameter("@ADTitle",c_AD.ADTitle),
new SqlParameter("@ADContent",c_AD.ADContent),
new SqlParameter("@ADType",c_AD.ADType),
new SqlParameter("@ADPhoto",c_AD.ADPhoto),
new SqlParameter("@ADUrl",c_AD.ADUrl)
};

object obj = SqlHelper.ExecuteNonQuery(ClothingCode.ClothingSystem.ConnString, CommandType.Text, sqlString,sqlParamList);
}
是不是改成这样就ok了？

[guyehanxinlei]

用存储过程安全一点.
1.存储过程有执行计划,执行起来快速.
2.存储过程存储在服务器端,可以减少不必要的数据库脚本语句通过网络传递到服务器端执行.
3.修改起来可以不需要重新编译代码.

[phoeni_xin]

引用 22 楼 guyehanxinlei 的回复:

用存储过程安全一点.
1.存储过程有执行计划,执行起来快速.
2.存储过程存储在服务器端,可以减少不必要的数据库脚本语句通过网络传递到服务器端执行.
3.修改起来可以不需要重新编译代码.

恩。学习了。

[lsd123]

[mengjun5200]

引用 14 楼 kengqiangxianv 的回复:

C# codepublicstaticstring FilterVal(string Val)
{if (string.IsNullOrEmpty(Val))return"";string value= Val;//防SQL注入 value= value.Replace("'","");
value= value.Replace("--","");
value= value.Replace(";","；");//过滤JS和HTML value= value.Replace("&","&");
value= value.Replace("<","<");
value= value.Replace(">",">");
value= value.Replace("\"",""");
value= value.Replace("'","'");return value;
}
最好把你的sql语句写在存储过程里面，如果非要写在代码里面上面的方法可以帮你过滤掉某些特定字符。最后还是劝告写在存储过程里面。

这个可以

[wuyq11]

定义实体类
使用对象属性
string sqlString = "insert into [C_AD](ADTitle) values(@ADTitle)";

[rjzou2006]

实体就有限定呢。祝 好运。