Как предотвратить SQL-инъекцию, избегая строк

Question

У меня есть несколько запросов (к базе данных acccess), таких как:

string comando = "SELECT * FROM ANAGRAFICA WHERE E_MAIL='" + user + "' AND PASSWORD_AZIENDA='" + password + "'";

и я хотел бы «экранировать» пользователя и пароль, предотвращая инъекцию.

Как я могу сделать это с C # и .NET 3.5? Я ищу что-то вроде mysql_escape_string на PHP ...

Answer 1

Вам нужно использовать параметры. Ну, не обязательно, но было бы предпочтительнее.

SqlParameter[] myparm = new SqlParameter[2];
myparm[0] = new SqlParameter("@User",user);
myparm[1] = new SqlParameter("@Pass",password);

string comando = "SELECT * FROM ANAGRAFICA WHERE E_MAIL=@User AND PASSWORD_AZIENDA=@Pass";

Answer 2

Не избегайте строк для начала - используйте параметризованный запрос. Преимущества этого по сравнению с побегом:

• Код легче читать
• Вам не нужно полагаться на правильное экранирование
• Возможно, что есть улучшения производительности (специфичные для БД и т. Д.)
• Он отделяет «код» (SQL) от данных, что логически логично
• Это означает, что вам не нужно беспокоиться о форматах данных для таких вещей, как числа и даты / время.

Документы для SqlCommand.Parameters дают хороший, полный пример.

Answer 3

Вы должны использовать параметры SQL, чтобы SQL-инъекция не смотрела код

//
// The name we are trying to match.
//
string dogName = "Fido";
//
// Use preset string for connection and open it.
//
string connectionString = ConsoleApplication716.Properties.Settings.Default.ConnectionString;
using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();
    //
    // Description of SQL command:
    // 1. It selects all cells from rows matching the name.
    // 2. It uses LIKE operator because Name is a Text field.
    // 3. @Name must be added as a new SqlParameter.
    //
    using (SqlCommand command = new SqlCommand("SELECT * FROM Dogs1 WHERE Name LIKE @Name", connection))
    {
    //
    // Add new SqlParameter to the command.
    //
    command.Parameters.Add(new SqlParameter("Name", dogName));
    //
    // Read in the SELECT results.
    //
    SqlDataReader reader = command.ExecuteReader();
    while (reader.Read())
    {
        int weight = reader.GetInt32(0);
        string name = reader.GetString(1);
        string breed = reader.GetString(2);
        Console.WriteLine("Weight = {0}, Name = {1}, Breed = {2}", weight,    name, breed);
    }
    }
}

Answer 4

Да, вы можете избежать инъекций, используя Named Parameters

Answer 5

Вы можете проверить следующую ссылку, чтобы узнать, как предотвратить внедрение SQL в ASP.Net.Я бы предпочел использовать

1. Использование параметризованных запросов или хранимых процедур.
2. Проверка специальных символов, таких как '(очень опасно)

http://dotnet.dzone.com/news/aspnet-preventing-sql-injectio

Answer 6

Используйте параметры вместо экранированных строк:

var comando = "SELECT * FROM ANAGRAFICA WHERE E_MAIL=@user AND PASSWORD_AZIENDA=@password";

Затем присвойте значения этим параметрам перед выполнением SqlCommand.

Answer 7

PT: разрешенные коды безопасности для решения проблемы SQL INJECTION

RU: выполните следующие действия и устраните проблему SQL INJECTION:

ES: Siga los siguientes pasos y resolverПроблема с SQL:

OracleParameter[] tmpParans = new OracleParameter[1];

tmpParans[0] = new Oracle.DataAccess.Client.OracleParameter("@User", txtUser.Text);

string tmpQuery = "SELECT COD_USER, PASS FROM TB_USERS WHERE COD_USER = @User";

OracleCommand tmpComand = new OracleCommand(tmpQuery, yourConnection);

tmpComand.Parameters.AddRange(tmpParans);


OracleDataReader tmpResult = tmpComand.ExecuteReader(CommandBehavior.SingleRow);

Answer 8

@ Jethro

Вы также можете написать это так:

SqlParameter[] sqlParams = new SqlParameter[] {
    new SqlParameter("@Name", contact.name),
    new SqlParameter("@Number", contact.number),
    new SqlParameter("@PhotoPath", contact.photoPath),
    new SqlParameter("@ID", contact.id)
};

Answer 9

Если вы сможете конвертировать их в именованные параметры, я думаю, вам будет лучше.