如何使用可變數量的參數參數化SQL？

安全地參數化SQL IN子句，應對可變參數

防止SQL注入漏洞，參數化包含IN子句的SQL查詢至關重要。然而，當處理可變數量的參數時，這可能會變得複雜。以下是在SQL Server 2008中解決此問題的方法：

使用C#參數化每個參數，您可以採用以下方法：

string[] tags = new string[] { "ruby", "rails", "scruffy", "rubyonrails" };
string cmdText = "SELECT * FROM Tags WHERE Name IN ({0})";

string[] paramNames = tags.Select(
    (s, i) => "@tag" + i.ToString()
).ToArray();

string inClause = string.Join(", ", paramNames);
using (SqlCommand cmd = new SqlCommand(string.Format(cmdText, inClause)))
{
    for (int i = 0; i < tags.Length; i++)
    {
        cmd.Parameters.AddWithValue(paramNames[i], tags[i]);
    }
    // ... 执行查询 ...
}

這段程式碼建立了一個參數化的IN子句，包含指定數量的參數。結果是：

cmd.CommandText = "SELECT * FROM Tags WHERE Name IN (@tag0, @tag1, @tag2, @tag3)"

cmd.Parameters["@tag0"] = "ruby"

cmd.Parameters["@tag1"] = "rails"

cmd.Parameters["@tag2"] = "scruffy"

cmd.Parameters["@tag3"] = "rubyonrails"

重要的是要注意，此解決方案不會造成SQL注入風險，因為注入的文字並非基於使用者輸入，僅包含固定值。使用者輸入安全地儲存在參數中。

雖然快取查詢計劃可能很有益，但對於像這樣的簡單查詢，它們並不總是能提供顯著的優勢。但是，從SQL Server 7版本開始，SQL Server會自動參數化查詢，突顯了參數化對於安全性的重要性。

以上是如何使用可變數量的參數參數化SQL？的詳細內容。更多資訊請關注PHP中文網其他相關文章！