c# - 如何参数化用户在 C# 中输入连接字符串的方式？

Question

当我们讨论在数据库中插入数据时，我已经学习了如何参数化我的文本框，现在我想在为 SQL 数据库手动放置连接字符串时实现相同的技术。我的代码是这样的:

connectionString = "server=localhost;uid=" + usr.Text + ";pwd=" + pwd.Text;

而且我认为它很容易受到 SQL 注入(inject)的攻击。有什么建议吗？

Answer 1

它不容易受到 SQL 注入(inject)的攻击，因为在这种情况下没有使用 SQL。您不能通过在连接字符串中指定任何内容来访问表和记录，也不能仅通过指定连接字符串来接收数据。

它容易受到连接字符串属性注入(inject)的影响，正如 Nikola 在他的回答中提到的那样。另见问题，“MS Access - prevent SQL injection in connection string”。