本文揭示了看似安全的String.Format方法可能引入SQL注入攻击的风险，并通过示例代码展示了如何错误地使用该方法，提醒开发者们在处理用户输入时要格外小心。
String sql = String.Format("select * from [users] where username='{0}'", Request.QueryString["username"]);
这个代码等价于：
String sql = "select * from [users] where username='" + Request.QueryString["username"] + "'";众所周知，.net使用参数的方式可以避免注入的问题，但是审核代码时注意不要被String.Format格式化字符串的代码欺骗：
String sql = String.Format("select * from [users] where username='{0}'", Request.QueryString["username"]);
这个代码等价于：
String sql = "select * from [users] where username='" + Request.QueryString["username"] + "'";
String sql = String.Format("select * from [users] where username='{0}'", Request.QueryString["username"]);这个代码等价于：
String sql = "select * from [users] where username='" + Request.QueryString["username"] + "'";
扫一扫
4243
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
