C#怎么防止SQL注入_C#如何使用参数化查询保护数据安全【避坑】-C#.Net教程-PHP中文网

sqlcommand防sql注入唯一可靠方式是@param占位符+显式parameters.add()；?占位符、字符串拼接、addwithvalue()、存储过程内动态拼接、order by/表名列名参数化均不安全，须用白名单或quotename。

c#怎么防止sql注入_c#如何使用参数化查询保护数据安全【避坑】

只要用 SqlCommand 执行 SQL，就必须用 @param 占位符 + Parameters.Add() 绑定值——这是防 SQL 注入唯一可靠、零容错的路径。其他所有“看起来安全”的做法，比如拼接字符串后加转义、用 AddWithValue()、在存储过程中拼接，都可能在特定条件下失效。

SqlCommand 必须用 @param，不能用 ? 或字符串拼接

SQL Server 的 SqlCommand 只认 @ 开头的命名参数，? 是 ODBC/SQLite 的语法，直接写会报错：Must declare the scalar variable "@xxx" 或静默执行失败。

✅ 正确："SELECT * FROM Users WHERE email = @email AND role = @role"，再调用 cmd.Parameters.Add(new SqlParameter("@email", inputEmail))
❌ 错误："SELECT * FROM Users WHERE email = ?"（SQL Server 不识别）
❌ 危险："SELECT * FROM Users WHERE email = '" + inputEmail + "'"（任何引号、分号、UNION SELECT 都会被执行）

AddWithValue() 会悄悄破坏性能和类型安全

AddWithValue() 看似方便，但它根据传入值自动推断 SQL 类型，常导致隐式转换：比如把 int 推成 decimal(10,0)，让索引失效；或把短字符串推成 nvarchar(max)，触发全表扫描。

C函数速查手册（CHM版）

下载

✅ 推荐：cmd.Parameters.Add("@status", SqlDbType.VarChar).Value = "active"，显式指定 SqlDbType
✅ 或更简洁：cmd.Parameters.Add("@status", SqlDbType.VarChar, 20).Value = "active"（带长度）
❌ 避免：cmd.Parameters.AddWithValue("@status", "active")（类型不可控）

存储过程不是免死金牌，EXEC 和拼接照样中招

设了 CommandType.StoredProcedure 只是第一步。如果存储过程内部用 EXEC(@sql) 或 sp_executesql N'SELECT ... WHERE '+@col+' = @val' 拼接用户输入，攻击面完全没关上。

✅ 安全调用：cmd.CommandText = "GetUserByPhone"; cmd.CommandType = CommandType.StoredProcedure; cmd.Parameters.Add("@phone", SqlDbType.NVarChar, 20).Value = userPhone;
✅ 对应 SP 内部必须是：WHERE phone = @phone（纯参数引用）
❌ 危险 SP 内容：DECLARE @sql NVARCHAR(MAX) = 'SELECT * FROM Users WHERE ' + @filter; EXEC(@sql)（仍可注入）

ORDER BY / 表名 / 列名不能参数化，得靠白名单或 QUOTENAME

@sortColumn 这种写法在 SQL Server 里语法错误——参数化只适用于值（value），不适用于标识符（identifier）。强行用会导致 Incorrect syntax near '@sortColumn'。

✅ 白名单控制：string orderCol = userSort switch { "name" => "user_name", "date" => "created_at", _ => "id" };，再拼进 SQL
✅ 动态对象名安全方案："ORDER BY " + QUOTENAME(@unsafeSort)（注意：必须在 SQL 层用 QUOTENAME，C# 里拼）
❌ 禁止："ORDER BY @sortColumn"（解析失败）或 "ORDER BY '" + userSort + "'"（绕过 QUOTENAME 的拼接仍危险）

最易被忽略的一点：所有用户可控的输入路径——不只是表单提交，还包括 URL 查询参数、HTTP 头、文件名、甚至日志字段——只要最终进了 SQL 字符串，就必须走参数化。漏掉任意一个点，就等于留了一扇没锁的数据库后门。