C# 防止SQL注入攻击

最新推荐文章于 2025-08-09 10:56:51 发布

翻译最新推荐文章于 2025-08-09 10:56:51 发布 · 9.4k 阅读

SQL_注入攻击专栏收录该内容

1 篇文章

订阅专栏

本文详细介绍了SQL注入漏洞的原理与防范方法，并通过代码示例展示了如何使用参数赋值来防止SQL注入攻击，确保登录系统的安全性。

l登录判断：select * from T_Users where UserName=... and Password=...，将参数拼到SQL语句中。

l构造恶意的Password：hello' or 1=1 --

l if (dataReader.Read())

l {

l MessageBox.Show("登陆成功");

l }

l else

l {

l MessageBox.Show("登陆失败");

l }

l防范注入漏洞攻击的方法：不使用SQL语句拼接，通过参数赋值

           string constr = "Data Source=zxtiger;Initial Catalog=itcastcn;Integrated Security=True";
            using (SqlConnection con = new SqlConnection(constr))
            {
                string sql = "select count(*) from UserLogin where LoginId=@uid and LoginPwd=@pwd";
                using (SqlCommand cmd = new SqlCommand(sql, con))
                {
                    ////在执行之前告诉Command对象@uid与@pwd将来用谁来代替
                    ////为变量@uid与@pwd赋值
                    //cmd.Parameters.AddWithValue("@uid", txtUid.Text.Trim());
                    //cmd.Parameters.AddWithValue("@pwd", txtPwd.Text);
                    #region MyRegion
                    //SqlParameter p1 = new SqlParameter("@uid", txtUid.Text.Trim());
                    //cmd.Parameters.Add(p1);

                    //SqlParameter p2 = new SqlParameter("@pwd", txtPwd.Text);
                    //cmd.Parameters.Add(p2);
                    #endregion

                    SqlParameter[] pms = new SqlParameter[] {
                    new SqlParameter("@uid", txtUid.Text.Trim()),
                    new SqlParameter("@pwd", txtPwd.Text)
                    };
                    cmd.Parameters.AddRange(pms);

                    con.Open();
                    int r = Convert.ToInt32(cmd.ExecuteScalar());
                    con.Close();
                    if (r > 0)
                    {
                        MessageBox.Show("登录成功！");
                    }
                    else
                    {
                        MessageBox.Show("登录失败！");
                    }
                }
            }