ASP.net防SQL注入

 

ASP.NET防止SQL注入

(1)根据某一个操作需输入的数据的长度，根据最大长度对客户的输入进行一个简单的长度验证；

(2)过滤危险字符，包括SQL关键字和单引号等，过滤方法参考

/**/ /// <summary>
  ///SQL注入过滤
  /// </summary>
  /// <param name="InText">要过滤的字符串</param>
  /// <returns>如果参数存在不安全字符，则返回true</returns>
   public   static   bool  SqlFilter2( string  InText)
   {
  string word="and|exec|insert|select|delete|update|chr|mid|master|or|truncate|char|declare|join";
  if(InText==null)
    return false;
  foreach(string i in word.Split(&apos;|&apos;))
  {
    if((InText.ToLower().IndexOf(i+" ")>-1)||(InText.ToLower().IndexOf(" "+i)>-1))
    {
    return true;
    }
  }
  return false;
  }

至于单引号的过滤，根据上述返回结果，若为False，就用Replace("&apos;","&apos;&apos;")源字符串即可，否则就说明有非法字符；