" select * from userinfo where userid=' " + TextBox1.Text+..._懂视IT

发布网友发布时间：2024-09-28 06:19

共5个回答

热心网友时间：2024-10-02 04:20

防止注入的方法其实很简单，只要把用户输入的单引号变成双份就行了：
string sql = "SELECT * FROM SiteUsers WHERE UserName=" + userName.Replace("","") + "";
这样，如果输入的是上面那种恶意参数，整个SQL语句会变成：
"SELECT * FROM SiteUsers WHERE UserName=xxx; DROP TABLE SiteUsers WHERE 1=1 or UserName=xxx";
被执行的还是一个SQL语句，整个粗体部分都成为参数值。
一般的做法，是在程序中统一调用下面这样的共通函数，对参数进行处理：
private string SafeSqlLiteral(string inputSQL)
{
return inputSQL.Replace("", "");
}
由于很多人会疏忽这种单引号替换，所以真正安全的做法是使用参数化查询。

热心网友时间：2024-10-02 04:20

能不能再把你的问题详细说明白点啊

热心网友时间：2024-10-02 04:20

在输入框里判断，不让输入就可以了

热心网友时间：2024-10-02 04:25

在服务器端做输入验证，例如：正则匹配字母数字下划线组合：^[a-z|A-Z|0-9|_]*$
筛选：Trim(TextBox1.Text.ToString),String.Replace("'","")，String.Replace("\"","")
等等

热心网友时间：2024-10-02 04:19

在数据录入之前先将数据用下面的函数过滤下再调用！

function filter_Str(InString)
'***********************************
'功能：过滤输入字符串中的危险符号
'调用方法：filter_Str("String")
'***********************************
NewStr=Replace(InString,"'","''")
NewStr=Replace(NewStr,"<","<")
NewStr=Replace(NewStr,">",">")
NewStr=Replace(NewStr,"chr(60)","<")
NewStr=Replace(NewStr,"chr(37)",">")
NewStr=Replace(NewStr,"""",""")
NewStr=Replace(NewStr,";",";;")
NewStr=Replace(NewStr,"--","-")
NewStr=Replace(NewStr,"/*"," ")
NewStr=Replace(NewStr,"%"," ")
filter_Str=NewStr
end function

声明：本网页内容为用户发布，旨在传播知识，不代表本网认同其观点，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。E-MAIL:11247931@qq.com

懂视IT 51dongshi.com 版权所有
Copyright © 2019-2024