警告：SQL 注入攻击-解网

问：

我一直在尝试使我的代码适应 FxCop 规则，我发现了这个警告：CA2100 查看在“WavesShaperNew.Parse（string， int）”中传递给“OleDbDataAdapter.OleDbDataAdapter（string， OleDbConnection）”的查询字符串，以了解可能的 SQL 注入攻击。如果字符串是使用任何用户输入编写的，请考虑使用存储过程或参数化 SQL 查询，而不是使用字符串连接生成查询。

我已经在Microsoft官方网站和类似的问题中搜索过，但仍然不明白这个警告是什么意思以及如何解决它。

ComboBox sheets = new ComboBox();
TextBox startRange = new TextBox();
TextBox endRange = new TextBox();

string query = string.Format("SELECT * FROM[" + sheets.SelectedItem + startRange.Text + ":" + endRange.Text + "]");
query = query.Replace("'", "");

OleDbDataAdapter adapter = new OleDbDataAdapter(query, con);

C# 互操作 FXCOP

var queryableTables = new HashSet<string>
{
    "table1",
    "table2",
    // etc.
};

string tableName = sheets.SelectedItem + startRange.Text;

if (!queryableTables.Contains(tableName))
{
    throw new InvalidOperationException($"{tableName} is not queryable");
}

string query = $"SELECT * FROM [{tableName}]");

警告：SQL 注入攻击

Warning: SQL injection attacks

评论

评论