Bagaimanakah Saya Boleh Mencegah Suntikan SQL dalam Aplikasi C# Saya?

Memperbaiki aplikasi C Suntikan SQL kekal sebagai kelemahan kritikal untuk aplikasi yang berinteraksi dengan pangkalan data SQL. Panduan ini menggariskan strategi yang mantap untuk melindungi aplikasi C# anda dari ancaman ini.

Pertanyaan Parameterized: The Cornerstone of Defense

Pertahanan yang paling berkesan terhadap suntikan SQL menggunakan pertanyaan parameter. Teknik ini mengelakkan penyambungan rentetan langsung, menghalang kod berniat jahat daripada ditafsirkan sebagai arahan SQL. Dalam C#, Leverage dan koleksi parameternya:

SqlCommand notis bagaimana

dan

private static void UpdateDemographics(Int32 customerID, string demoXml, string connectionString)
{
    string commandText = "UPDATE Sales.Store SET Demographics = @demographics WHERE CustomerID = @ID;";

    using (SqlConnection connection = new SqlConnection(connectionString))
    {
        SqlCommand command = new SqlCommand(commandText, connection);
        command.Parameters.Add("@ID", SqlDbType.Int).Value = customerID;
        command.Parameters.AddWithValue("@demographics", demoXml);

        try
        {
            connection.Open();
            Int32 rowsAffected = command.ExecuteNonQuery();
            Console.WriteLine($"RowsAffected: {rowsAffected}");
        }
        catch (Exception ex)
        {
            Console.WriteLine(ex.Message);
        }
    }
}

bertindak sebagai tempat letak, mengendalikan input pengguna dengan selamat.

@ID @demographics Pengesahan input: Pendekatan pelbagai lapisan

Pengesahan input menyeluruh adalah penting. Melaksanakan cek untuk memastikan data mematuhi format yang dijangkakan:

Pengesahan e -mel:

menggunakan ungkapan biasa untuk pengesahan format e -mel yang tepat.
• Pengesahan nama:
Hadkan input ke aksara dan ruang alfanumerik.
• sanitisasi watak khas:
Keluarkan atau encodkan aksara khas yang boleh dieksploitasi.
memanfaatkan ciri keselamatan terbina dalam .NET

.net menawarkan alat yang berkuasa untuk meningkatkan pencegahan suntikan SQL:

anotasi data dan

:
• Gunakan anotasi data untuk menapis input pada tahap model, menyekat data yang terikat kepada parameter SQL. SqlFilterAttribute
(penggunaan berhati -hati):
• Walaupun kaedah ini dapat mengodkan aksara khas, ia umumnya kurang disukai daripada pertanyaan parameter. Gunakannya dengan berhati -hati dan hanya sebagai langkah tambahan. SqlCommand.EscapeKeywords
Kesimpulan

Dengan secara konsisten melaksanakan pertanyaan parameter, pengesahan input yang ketat, dan memanfaatkan ciri keselamatan .NET, pemaju dapat mengurangkan risiko kelemahan suntikan SQL dalam aplikasi C# mereka, melindungi sistem pangkalan data dan data pengguna mereka.

Atas ialah kandungan terperinci Bagaimanakah Saya Boleh Mencegah Suntikan SQL dalam Aplikasi C# Saya?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!