sql-server - 防止经典 ASP 中自由响应文本字段的 SQL 注入(inject)

Question

我有一些自由响应文本字段，但我不知道如何清理它们以防止 SQL 注入(inject)。有任何想法吗？

Answer 1

创建 parameterized query而不是将用户的输入连接到查询中。

以下是在经典 asp 中执行此操作的方法: http://blog.binarybooyah.com/blog/post/Classic-ASP-data-access-using-parameterized-SQL.aspx

还需要注意的是，能够 100% 安全地避免 SQL 注入(inject)的唯一方法是参数化任何使用用户输入的 SQL 语句，即使它位于数据库中也是如此。示例:假设您通过参数化查询或存储过程获取用户输入。您在插入时是安全的，但是您需要确保使用该输入的任何内容也使用参数。在任何地方直接连接用户输入都是一个坏主意，包括在数据库内部。