如何防止ＳＱＬ注入呢

waiterNet 2006-06-20 10:58:53

用存储过程可以防止ＳＱＬ注入吗？

...全文

896 9 打赏收藏转发到动态举报

写回复

用AI写文章

9 条回复

切换为时间正序

请发表友善的回复…

发表回复

wyl918 2006-06-25

打赏
举报

你把输入的用户名，和密码换成 'or' 'or' 试试

会不会出现 where username='' or '' and password='' or '' 这种情况啊，如果会出现，那么这个查询语句就会返回数据表中的所有记录
使用存储过程，或者传递参数应该可以防止 Sql 注入

sailing_hang 2006-06-21

打赏
举报

补充一下，再进行数据库添加记录操作的时候，尽量用参数形式进行添加，最完美是用存储过程，用参数添加是最好的

yuanzhe_221 2006-06-21

打赏
举报

1.加密码
2.使用存储过程

i169net1 2006-06-21

打赏
举报

啊.........晕......

我就是使用一个用户控件来构造SQL查询语句的，它只生成查询条件，即 WHERE 后面的部分。
比如，这个用户控件返回查询字符串：
"((sl>0) AND (id='06050300001'))"

这样，很危险吗？？？

yesur 2006-06-21

打赏
举报

简单说就是不要拼凑SQL语句

SassyBoy 2006-06-21

打赏
举报

string insertCmd = "insert into Authors values (@Id," +
" @LName, @FName, @Phone, @Address, @City, @State," +
" @Zip, @Contract)";
SqlCommand myCommand = new SqlCommand(insertCmd, myConnection);
myCommand.Parameters.Add(new SqlParameter("@Id",
SqlDbType.VarChar, 11));
myCommand.Parameters["@Id"].Value = au_id.Value;
myCommand.Parameters.Add(new SqlParameter("@LName",
SqlDbType.VarChar, 40));
myCommand.Parameters["@LName"].Value = au_lname.Value;
myCommand.Parameters.Add(new SqlParameter("@FName",
SqlDbType.VarChar, 20));
myCommand.Parameters["@FName"].Value = au_fname.Value;
myCommand.Parameters.Add(new SqlParameter("@Phone",
SqlDbType.Char, 12));
myCommand.Parameters["@Phone"].Value = phone.Value;
myCommand.Parameters.Add(new SqlParameter("@Address",
SqlDbType.VarChar, 40));
myCommand.Parameters["@Address"].Value = address.Value;
myCommand.Parameters.Add(new SqlParameter("@City",
SqlDbType.VarChar, 20));
myCommand.Parameters["@City"].Value = city.Value;
myCommand.Parameters.Add(new SqlParameter("@State",
SqlDbType.Char, 2));
myCommand.Parameters["@State"].Value = state.Value;
myCommand.Parameters.Add(new SqlParameter("@Zip",
SqlDbType.Char, 5));
myCommand.Parameters["@Zip"].Value = zip.Value;
myCommand.Parameters.Add(new SqlParameter("@Contract",
SqlDbType.VarChar,1));
myCommand.Parameters["@Contract"].Value = contract.Value;
myCommand.Connection.Open();
try
{
myCommand.ExecuteNonQuery();
Message.InnerHtml = "<b>Record Added</b><br>" + insertCmd;
}
catch (SqlException e)
{
if (e.Number == 2627)
Message.InnerHtml = "ERROR: A record already exists with" +
" the same primary key";
else
Message.InnerHtml = "ERROR: Could not add record, please " +
" ensure the fields are correctly filled out";
Message.Style["color"] = "red";
}
myCommand.Connection.Close();
}

zhangxiaopin 2006-06-21

打赏
举报

//*****SQL安全注入方法
public static string SQLRequestImmit(string strTemp)
{
//****替换不安全的字符
string strapp = "*,/,', ~,";

string[] strImmit = strapp.Split(',');
foreach (string str in strImmit)
{
strTemp.Replace(str, "");
}

return strTemp;
}