Bagaimanakah Saya Boleh Mencegah Serangan Suntikan SQL dalam Aplikasi ASP.Net Saya Menggunakan Pertanyaan Berparameter?

Mencegah SQL Injection dalam ASP.Net

Dalam ASP.Net, memastikan pertanyaan pangkalan data terhadap serangan suntikan SQL adalah penting. OpenQuery, teknik yang digunakan untuk mengakses sumber data luaran, boleh terdedah kepada eksploitasi ini. Untuk mengelakkan kelemahan sedemikian, adalah penting untuk menggunakan pertanyaan berparameter.

Pertanyaan Berparameter

Pertanyaan berparameter menggunakan parameter untuk mewakili nilai dalam pertanyaan, menghalang penyatuan kod berniat jahat ke dalam rentetan pertanyaan. Dalam C#, koleksi SqlCommand.Parameters membolehkan anda menambah, mentakrif dan menetapkan nilai kepada parameter. Berikut ialah contoh:

SqlCommand cmd = new SqlCommand("Select * from Table where ref=@ref", con);
cmd.Parameters.AddWithValue("@ref", 34);

Alat untuk Mencegah Suntikan SQL

ASP.Net menawarkan alatan berikut untuk membantu dalam pencegahan suntikan SQL:

• Parameter Data: Membenarkan spesifikasi parameter dan parameter yang berasingan nilai.
• OpenQuerySafeString: Membersihkan rentetan untuk melindungi daripada input berniat jahat.

Menyelesaikan Ralat

• SqlCommand ialah sejenis: Pastikan itu contoh SqlCommand dimulakan dengan betul sebelum cuba menambah parameter.
• Alat tidak diisytiharkan: Tambahkan rujukan pada ruang nama atau tentukan kelas Alat dalam kod anda.
• Nilai parameter tidak ditambah: Sahkan bahawa nama parameter sepadan dengan ruang letak dalam rentetan pertanyaan dan jenis data daripada parameter itu sejajar dengan nilai yang dijangkakan.

Menggunakan Parameter dengan OpenQuery

Walaupun OpenQuery boleh memberikan cabaran dalam menggunakan parameter secara langsung, anda boleh mencapai hasil yang diingini dengan membina pertanyaan secara dinamik menggunakan penggabungan rentetan dan melaksanakannya dengan arahan berparameter. Berikut ialah contoh:

Dim query As New SqlCommand("DECLARE @investor varchar(10), @sql varchar(1000) Select @investor = 69836 select @sql = 'SELECT * FROM OPENQUERY(db, ''SELECT * FROM table WHERE investor = ''''' + @investor + ''''''')' EXEC(@sql)", conn)

Dengan membuat parameter pertanyaan dan menggunakan teknik yang sesuai, pembangun ASP.Net boleh melindungi aplikasi mereka daripada serangan suntikan SQL.

Atas ialah kandungan terperinci Bagaimanakah Saya Boleh Mencegah Serangan Suntikan SQL dalam Aplikasi ASP.Net Saya Menggunakan Pertanyaan Berparameter?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!