防止插入时的SQL注入

我正在寻找一些防止SQL注入的技巧。 我在一个论坛上被告知我的代码不安全，我正在找一个足够好的人来帮助我解决这个问题。

我有一个webform并在提交时转到aspx.cs页面并将数据插入到ms sql数据库中。

protected void Submit_Click(object sender, EventArgs e) { string FullStartTime = StartTimeHourList.SelectedValue + ":" + StartTimeMinuteList.SelectedValue + " " + StartTimeAMList.SelectedValue; string FullEndTime = EndTimeHourList.SelectedValue + ":" + EndTimeMinuteList.SelectedValue + " " + EndTimeAMList.SelectedValue; OleDbConnection conn; OleDbCommand cmd; conn = new System.Data.OleDb.OleDbConnection(""); cmd = new System.Data.OleDb.OleDbCommand(); conn.Open(); cmd.Connection = conn; var sql = String.Format(@"INSERT INTO FormTable1 (Nonprofit, Contact, Phone, Email, Event, StartDate, EndDate, StartTime, EndTime, Place, Comments, SubmitDate) values ('{0}','{1}','{2}','{3}','{4}','{5}','{6}','{7}','{8}','{9}','{10}','{11}')", NonprofitTxtBox.Text, ContactTxtBox.Text, PhoneTxtBox.Text, EmailTxtBox.Text, EventTxtBox.Text, StartDateTxtBox.Text, EndDateTxtBox.Text, FullStartTime, FullEndTime, PlaceTxtBox.Text, CommentsTxtBox.Text, DateTime.Now); cmd.CommandText = sql; cmd.ExecuteNonQuery(); conn.Close(); } 

Answer 1

最简单的解决方法是简单地不通过将字符串连接在一起来构建sql，而是使用params。 如果您正在使用SqlCommand，则可以执行以下操作，否则请按@MarcB建议执行

 SqlCommand cmd = new SqlCommand("INSERT dbo.Table (field1, field2, field3) VALUES (@f1, @f2, @f3)", conn); cmd.Paramters.Add("@f1", SqlDbType.VarChar, 50).Value = "abc"; cmd.Paramters.Add("@f2", SqlDbType.Int).Value = 2; cmd.Paramters.Add("@f3", SqlDbType.VarChar, 50).Value = "some other value";