security - ASP.NET MVC : Simple SQL Injection security

Question

我正在开发一个 ASP.NET MVC 3 应用程序，需要一种解决 SQL 注入(inject)的方法，一些简单的方法会很有用。我已经关注了微软关于此事的文章，但它似乎与我的代码和结构不符。

非常感谢任何帮助

Answer 1

防止sql注入(inject):

不形成任何动态sql。

1. 使用存储过程(并且不要在存储过程中包含任何动态 sql - 如果您确实使用 sp_executesql 而不是 exec，因为 sp_executesql 可以采用参数化查询
2. 使用参数化查询
3. 使用 ORM(例如 Entity Framework )，无论如何，它都会在幕后使用参数化查询。

尽量不要使用任何动态 SQL - 如果出于某种原因必须使用动态 SQL，请确保使用参数化查询。

不要只是简单地使用动态 sql 并从中删除引号 - 像某些人那样假设这是唯一的攻击媒介有点危险。