防止SQL注入漏洞简单方法

最新推荐文章于 2024-09-26 15:01:53 发布

原创最新推荐文章于 2024-09-26 15:01:53 发布 · 1k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#sql注入 #漏洞 #select #server #cmd

收录于

C# 专栏收录该内容

17 篇文章

订阅专栏

本文提供了一个使用参数化查询来防止SQL注入的示例代码。通过使用SqlParameter对象将用户输入作为参数传递，有效避免了直接拼接字符串可能带来的SQL注入风险。

 private void button2_Click(object sender, RoutedEventArgs e)
        {
            using (SqlConnection conn = new SqlConnection("server=.;database=db_15;uid=sa;pwd="))
            {
                conn.Open();
                using (SqlCommand cmd = conn.CreateCommand())
                {
                    //输入 1' or '1'='1会造成SQL注入漏洞，下面是防止方法


                    //@Name参数类似方法可以用在其他SQL语句中，但不能用来替换表名，select之类的关键字
                    cmd.CommandText = "select 年龄 from tb_test where 姓名=@Name";
                    cmd.Parameters.Add(new SqlParameter("@Name", txtName.Text));


                    using (SqlDataReader sdr = cmd.ExecuteReader())
                    {
                        while (sdr.Read())
                        {
                            int age = sdr.GetInt32(0);
                            MessageBox.Show(age.ToString());
                        }
                    }
                }
            }