Comment puis-je utiliser en toute sécurité les paramètres avec l'instruction LIKE dans SQL pour empêcher les attaques par injection ?

Utilisation de paramètres avec l'instruction LIKE dans les requêtes SQL et prévention des injections SQL

Dans les requêtes de base de données, l'utilisation de paramètres est une pratique cruciale pour empêcher le SQL malveillant attaques par injection. Cependant, lorsque vous travaillez avec l'instruction LIKE, certaines considérations de syntaxe surviennent.

Question : Est-il possible d'utiliser des paramètres dans une instruction LIKE et si oui, comment ?

Réponse : Oui, il est possible d'utiliser des paramètres dans une instruction LIKE. Cependant, il est important de gérer la concaténation des chaînes de manière appropriée.

Syntaxe de l'instruction LIKE paramétrée :

SELECT * FROM table_name WHERE (column_name LIKE @parameter)

Utilisation des paramètres dans VB.NET :

Dim cmd As New SqlCommand(
    "SELECT * FROM compliance_corner "_
    + " WHERE (body LIKE @query ) "_
    + " OR (title LIKE @query)")

cmd.Parameters.Add("@query", "%" + searchString + "%")

Explication :

• L'instruction LIKE compare la valeur du corps ou de la colonne de titre au paramètre donné @ query.
• Le paramètre @query est déclaré et sa valeur est construite dynamiquement, en incluant les signes "%" comme caractères génériques.
• En utilisant des paramètres, nous pouvons empêcher les attaques par injection SQL en garantissant que la chaîne injectée est traitée comme une valeur littérale et non exécutée comme du code malveillant.

Exemple Requête :

SELECT * FROM compliance_corner WHERE (body LIKE '%max%') OR (title LIKE '%max%')

Cette requête récupérera tous les enregistrements dont la colonne corps ou titre contient la sous-chaîne "maximum".

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!