.net - SqlCommand.Parameters.AddWithValue 注入(inject)安全吗？

Question

SqlCommand.Parameters.AddWithValue 方法注入(inject)安全吗？

它接受一个 Object 作为有效负载，那么它如何防止注入(inject)呢？

Answer 1

这实际上取决于您如何使用它们。

看看这里的区别。第一个是安全的，但第二个则不安全。

sqlCommand.CommandText = "select * from Books where Title = @title";
sqlCommand.Parameters.AddWithValue("title", txtTitle.Text);

<小时/>

string sql = "select * from Books where title = " + txtTitle.Text;
sqlCommand.CommandText = "exec(@sql)";
sqlCommand.Parameters.AddWithValue("sql", sql);

<小时/>

在 Does asp.net protect against sql injection attacks 上查看更多详细信息