如何生成一个安全的SQL命令字符串，防止SQL注入？-解网

问：

我有一种情况，我必须从用户那里获取输入，创建一个 SQL 命令并将该命令发送到将执行 SQL 的服务。该服务只允许 SQL 字符串 -- 不允许其他参数;所以我被迫在我这边创建整个 SQL 语句。

我对数据库本身没有任何访问权限 - 只有位于它之上的服务。

我意识到以下情况不安全：

var sql = $"SELECT * FROM tablename WHERE name = '{incomingdata.searchName}'";

但是，如果我使用参数生成 SQL，这不会受到 SQL 注入的影响？

var sql = $@"
DECLARE @Name varchar(50);
SET @Name = '{incomingdata.searchName}';
SELECT * FROM tablename WHERE name = @Name";

C# SQL-Server SQL注入

如果你绝对别无选择，那就去做吧。麻烦的是，你必须确保在任何地方都做这种事情，并且转义和格式可能会有所不同，这取决于你是否传递字符串、一个、一个标识符、一个......一次失误，你就遇到了安全问题。参数的存在是有充分理由的。'{incomingdata.searchName.Replace("'", "''")}'nullDateTime

1赞 David Browne - Microsoft 1/20/2023

此外，还必须通过类型安全或其他方式保证在单引号外注入的任何字符串都是安全的。因此，标识符必须按照 QUOTENAME 进行转义，并将数字键入为代码中的数字，或验证为仅包含数字和 '.'。

答：

0赞 sheldonm301 1/20/2023 #1

披露：我的背景是C++，Java和TypeScript / JavaScript，而不是C#

这是否更合适：

SqlCommand sql = new SqlCommand("SELECT * FROM tablename WHERE name = @Name");
sql.Parameters.Add("@Name", SqlDbType.VarChar, 50).Value = incomingdata.searchName);

在用户数据进入此阶段之前，使用受信任的包清理用户数据也可能有所帮助。

完成此操作后，当用户尝试更改变量的值时，查询将不返回任何结果。应该说，这种方式确实会导致 SQL 属性假定 C# 变量的类型。如果要指定属性的类型与变量类型不同，还有其他方法可以执行此操作。这是一个有用的资源 https://jonathancrozier.com/blog/preventing-sql-injection-in-c-sharp-applications

如何生成一个安全的SQL命令字符串，防止SQL注入？

How to generate a SQL Command string that is safe from SQL Injection?

评论

评论

评论

评论