如何在C#里检测并阻止SQL注入

在C#中，检测和阻止SQL注入的最佳方法是使用参数化查询或存储过程

1. 参数化查询：

参数化查询是一种将输入值与SQL命令分开处理的技术，以避免SQL注入。以下是一个使用ADO.NET的参数化查询示例：

using System.Data.SqlClient;  string connectionString = "your_connection_string"; string userInput = "your_user_input";  using (SqlConnection connection = new SqlConnection(connectionString)) {     connection.Open();      using (SqlCommand command = new SqlCommand())     {         command.Connection = connection;         command.CommandText = "SELECT * FROM Users WHERE Username = @Username";                  // 添加参数         SqlParameter parameter = new SqlParameter("@Username", System.Data.SqlDbType.NVarChar, 50);         parameter.Value = userInput;         command.Parameters.Add(parameter);          using (SqlDataReader reader = command.ExecuteReader())         {             while (reader.Read())             {                 // 处理查询结果             }         }     } } 

2. 存储过程：

存储过程是一种将SQL代码预先编写并存储在数据库服务器上的方法。通过使用存储过程，可以将输入值作为参数传递给存储过程，从而避免SQL注入。以下是一个使用ADO.NET调用存储过程的示例：

首先，创建一个存储过程（以下示例为SQL Server）：

CREATE PROCEDURE GetUserByUsername     @Username NVARCHAR(50) AS BEGIN     SELECT * FROM Users WHERE Username = @Username END 

然后，在C#中调用存储过程：

using System.Data.SqlClient;  string connectionString = "your_connection_string"; string userInput = "your_user_input";  using (SqlConnection connection = new SqlConnection(connectionString)) {     connection.Open();      using (SqlCommand command = new SqlCommand("GetUserByUsername", connection))     {         command.CommandType = System.Data.CommandType.StoredProcedure;          // 添加参数         SqlParameter parameter = new SqlParameter("@Username", System.Data.SqlDbType.NVarChar, 50);         parameter.Value = userInput;         command.Parameters.Add(parameter);          using (SqlDataReader reader = command.ExecuteReader())         {             while (reader.Read())             {                 // 处理查询结果             }         }     } } 

通过使用参数化查询或存储过程，可以有效地检测和阻止SQL注入攻击。