c# - 使用存储过程从复选框切换 bool 值是否有任何安全优势

Question

我有一个 bool 变量值存储在 SQL Server 数据库中。这在 ASP.NET 网页上作为复选框呈现给最终用户。切换复选框自然会更新数据库中的值。

我正准备删除后面的 C# 代码中以纯文本编写的 SQL 查询，并将其替换为存储过程，以通过防止 SQL 注入(inject)攻击来提高安全性。我对注入(inject)攻击的理解是有限的，但肯定不会从不安全的复选框输入触发攻击吧？或者可以吗？

Answer 1

嗯，作为一条规则，您应该始终使用存储过程或参数化 SQL。您可以通过单击复选框来完成吗？真的，这完全取决于代码的编写方式。从表面上看，我会说不，但有很多可能性会影响到这一点。

请记住，页面在发布时本质上是向服务器发送一个文本值。有人可以发送 sql 注入(inject)攻击而不是复选框值。现在 asp.net 非常擅长处理这个问题，但这并不意味着如果编写代码来绕过 asp.net 检查等等，它就不会发生。

我从编程中学到的一件事是，每次我都会想，“这不可能完成。”通常我被证明是错误的。关于安全，我总是采取最安全的路线。