如何有效使用ADO.NET SQL指令中的參數來防止SQL注入？

ADO.NET SQL 指令中的參數

建立修改資料庫的SQL 指令時，通常的做法是使用參數來提供要插入或更新的特定值。這種方法有助於防止 SQL 注入攻擊，並使程式碼更具可讀性和可維護性。

參數很有用的一個例子是在資料庫表中新增記錄時。假設您有一個如下所示的指令：

SqlCommand comand = new SqlCommand("INSERT INTO Product_table Values(@Product_Name,@Product_Price,@Product_Profit,@p)", connect);

要指定參數的實際值，您需要將它們加入到指令的參數集合中。最直接的方法是建立一個 SqlParameter 物件：

SqlParameter ppar = new SqlParameter();
ppar.ParameterName = "@Product_Name";
ppar.Value = textBox1.Text;

但是，這種方法有一些限制。相反，建議使用更明確的方法來指定每個參數的資料類型：

cmd.Parameters.Add("@Product_Name", SqlDbType.NVarChar, ProductNameSizeHere).Value = txtProductName.Text;
cmd.Parameters.Add("@Product_Price", SqlDbType.Int).Value = txtProductPrice.Text;

這可確保資料庫知道每個值的確切資料類型並可以相應地處理它。

請記住，避免使用 AddWithValue 方法新增參數至關重要。詳細原因可參考以下文章：https://blogs.msmvps.com/jcoehoorn/blog/2014/05/12/can-we-stop-using-addwithvalue-already/

此外，在插入數據時，最好在SQL 語句中明確指定列名，如下所示： https://www.w3schools.com/sql/sql_insert.asp

以上是如何有效使用ADO.NET SQL指令中的參數來防止SQL注入？的詳細內容。更多資訊請關注PHP中文網其他相關文章！