23、如何防范 SQL 注入攻击

如何防范 SQL 注入攻击

1. SQL 注入攻击概述

随着对象关系映射（ORM）技术（如 Link to SQL 和 nHybernate）的引入，SQL 注入问题得到了极大的缓解。因为正确编写的 ORM 代码会自动对 SQL 查询进行参数化。然而，如果 ORM 调用存储过程，并且这些存储过程中包含动态 SQL，那么应用程序仍然容易受到 SQL 注入攻击。

2. 防范 SQL 注入攻击的方法

一旦命令到达数据库并由数据库引擎执行，再防范 SQL 注入攻击就为时已晚。真正保护数据库应用程序免受注入攻击的唯一方法是在应用程序层进行防范，其他任何保护措施都几乎无效。有些人认为在 T - SQL 代码中进行字符替换可以有效保护，但这在一定程度上可能可行，具体取决于 T - SQL 的设置和动态 SQL 字符串的构建方式，而且可能无法长期有效。

2.1 .NET 防范 SQL 注入

防范 SQL 注入的可靠方法是对发送到数据库的每个查询进行参数化，包括存储过程调用和内联动态 SQL 调用。同时，不要将前端应用程序允许用户输入的字符串值直接传递到存储过程调用中的动态 SQL 中。如果在存储过程中需要使用动态 SQL，也需要对其进行参数化。

以下是示例代码：
- VB.NET 安全调用存储过程示例 ：

Private Sub MySub()
    Dim Connection As SqlConnection
    Dim Results As DataSet
    Dim SQLda As