ADO.Net——防止SQL注入攻击

规避SQL注入

 

如果不规避，在黑窗口里面输入内容时利用拼接语句可以对数据进行攻击

如：输入Code值

      p001' union select * from Info where '1'='1 //这样可以查询到所有数据，不要轻易相信用户输入的内容

防止SQL注入攻击

通用方法：可以用正则匹配掉特殊符号

推荐方法：再给命令发送SQL语句的时候分两次发送

　　　　　把SQL语句拆成两块

              用户输入的是一块；本身写好的是一块

              第一次把CommandText里写的sql语句发过去；第二次把变量值发过去，进行匹配

例：

使列名等于一个变量名

改变量绑定参数 cmd.Parameters.AddWithValue("变量名称",变量值);

cmd.Parameters是对象里面的一个属性，返回值是一个集合

有时会用到同样的变量名 所以在绑定参数之前先清除一下cmd.Parameters.Clear();