.net - 如何避免 ASP.NET 应用程序中的 SQL 注入(inject)攻击？

Question

我需要避免在 ASP.NET 应用程序中容易受到 SQL 注入(inject)的攻击。我怎样才能做到这一点？

Answer 1

尽管您的问题非常笼统，但始终适用一些规则:

• 使用参数化查询(SqlCommand 和 SqlParameter)并将用户输入放入参数中。
• 不要根据未经检查的用户输入构建 SQL 字符串。
• 不要以为您可以构建一个清理例程来检查用户输入是否存在各种格式错误。边缘情况很容易被遗忘。检查数字输入可能很简单，足以让您安全起见，但对于字符串输入，只需使用参数即可。
• 检查二级漏洞 - 如果 SQL 表值包含用户输入，请勿根据这些值构建 SQL 查询字符串。
• 使用存储过程封装数据库操作。