sql - 避免 MS Access 中的 SQL 注入(inject)

Question

这个问题已经有答案了:

How do I use parameters in VBA in the different contexts in Microsoft Access? (2 个回答)

已关闭 5 年前。

我试图更好地理解参数化 SQL 作为 SQL 注入(inject)的解决方案。

假设我有一个 tblCustomer与字段 CustName , Phone和Address 。还可以说我有一个供新客户输入数据的输入表单，其控件名为 txtName , txtPhone和txtAddress .

我可以运行以下 vba 代码:

dim strName, strPhone strAddress, strSQL as string
strName = me.txtName
strPhone = me.txtPhone
strAddress = me.txtAddress
strSQL = "INSERT INTO tblCustomer (CustName, Phone, Address) _
VALUES (" & strName & ", " & strPhone & ", " & strAddress & ");"

DoCmd.RunSQL strSQL

但是如果有人指定地址“Robert'); DROP TABLE tblCustomer; --”(眨眼)我就会遇到一些严重的问题。

我使用了 vba 参数，但它们对我没有帮助。因此，当人们说使用参数来解决问题时，他们的意思是什么？

Answer 1

使用带有位置参数的预准备语句可以消除有人对您进行 SQL 注入(inject)的机会:

strSQL = "INSERT INTO tblCustomer (CustName, Phone, Address) " &
    "VALUES ([str_name], [str_phone], [str_address]);"

Set qdf = db.CreateQueryDef(vbNullString, strSql)
With qdf
    .Parameters("str_name").Value = strName
    .Parameters("str_phone").Value = strPhone
    .Parameters("str_address").Value = strAddress
    .Execute dbFailOnError
End With