ADO.NET之注入式攻击

关于Sql注入，经典的注入语句是' or 1=1--     以下说说如何最大限度的避免注入问题。

一.SQL参数用法1

1.思维导图

属性
ParameterName	取得或設定 SqlParameter 的名稱。
Value	取得或設定參數的值。
SqlDbType	取得或設定參數的 SqlDbType
Size	取得或設定資料行中資料的最大大小 (以位元組為單位)。

2.示例代码

1 SqlParameter sqlParameter = new SqlParameter();             //声明并实例化SQL参数；
2 sqlParameter.ParameterName = "@No";                         //设置SQL参数的名称；
sqlParameter.Value = this.txb_UserNo.Text.Trim();           //设置SQL参数的长度；
sqlParameter.SqlDbType = SqlDbType.Char;                    //设置SQL参数对应的SQL Server数据类型；
sqlParameter.Size = 10;                                     //设置SQL参数的长度；
sqlCommand.Parameters.Add(sqlParameter);     

显然，Add方法在添加多个SqlParameter时不方便

二.SQL参数用法2

1.示例代码

sqlCommand.Parameters.AddWithValue("@Password", this.txb_Password.Text.Trim());       //直接调用方法AddWithValue向SQL命令的参数集合添加参数的名称、值；
sqlCommand.Parameters["@Password"].SqlDbType = SqlDbType.VarChar;                     //通过参数名称访问SQL参数，并将密码参数的类型设为变长字符串；
       //SQL参数能自动识别类型；若参数值为字符串，则类型自动设为NVARCHAR，且可在执行时自动转换；但对于相同密码，VARCHAR/NVARCHAR类型所获得的散列值不同，故需手动将SQL参数类型统一设为VARCHAR;