Wie kann ich Spaltennamen in einem C#-SQL-Befehl parametrisieren?

Parametrieren von Spaltennamen in SqlCommand

Parametrierte Abfragen sind unerlässlich, um SQL-Injection-Angriffe zu verhindern und die Sicherheit Ihrer Datenbankoperationen zu gewährleisten. Allerdings stellt C# SqlCommand eine besondere Herausforderung dar, wenn es um die Parametrisierung von Spaltennamen geht. Die in der ursprünglichen Frage dargestellte Syntax führt zu einem Fehler, da SqlCommand die Parametrisierung von Spaltennamen nicht nativ unterstützt.

Um dieses Problem zu beheben, wird empfohlen, die Abfrage zur Laufzeit dynamisch zu erstellen. Dazu gehört die Verkettung des Spaltennamens mit dem Rest der Abfrage. Auch wenn dies unbequem erscheinen mag, ist es doch entscheidend, um Sicherheitsrisiken zu mindern:

// IMPORTANT: Ensure "slot" is validated against a whitelist to prevent injection attacks

SqlCommand command = new SqlCommand("SELECT [" + slot +
           "] FROM Users WHERE name=@name; ")
prikaz.Parameters.AddWithValue("name", name);

Durch die dynamische Erstellung der Abfrage können Sie Spaltennamen effektiv parametrisieren. Denken Sie daran, der Sicherheit Priorität einzuräumen, indem Sie alle Benutzereingaben auf die Whitelist setzen oder validieren, um potenzielle Schwachstellen zu vermeiden.

Das obige ist der detaillierte Inhalt vonWie kann ich Spaltennamen in einem C#-SQL-Befehl parametrisieren?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!