Κοινή χρήση τεχνολογίας

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

Για να επαληθεύσετε εάν τα δεδομένα που εισάγονται από τον χρήστη περιέχουν δηλώσεις επίθεσης SQL injection στο C# WinForms, μπορείτε να χρησιμοποιήσετε μια ποικιλία μεθόδων για τον εντοπισμό και την αποτροπή της ένεσης SQL. Ακολουθούν μερικές κοινές μέθοδοι:

1. Χρησιμοποιήστε παραμετροποιημένα ερωτήματα

Τα παραμετροποιημένα ερωτήματα είναι η βέλτιστη πρακτική για την αποτροπή της ένεσης SQL μεταβιβάζοντας την είσοδο χρήστη στο ερώτημα SQL ως παραμέτρους αντί να το ενσωματώνετε απευθείας στη συμβολοσειρά SQL. Αυτό διασφαλίζει ότι η είσοδος του χρήστη δεν ερμηνεύεται ως κώδικας SQL.

using System.Data.SqlClient;
 
public void ExecuteQuery(string userInput)
{
    string connectionString = "数据库连接字符串";
    string query = "SELECT * FROM Users WHERE Username = @Username";
 
    using (SqlConnection connection = new SqlConnection(connectionString))
    using (SqlCommand command = new SqlCommand(query, connection))
    {
        command.Parameters.AddWithValue("@Username", userInput);
 
        connection.Open();
        SqlDataReader reader = command.ExecuteReader();
        while (reader.Read())
        {
            // Process the data
        }
    }
}

2. Ελέγξτε την είσοδο του χρήστη για επικίνδυνους χαρακτήρες

Κοινοί χαρακτήρες και λέξεις-κλειδιά ένεσης SQL, όπως μεμονωμένα εισαγωγικά ('), Διπλά εισαγωγικά ("), ερωτηματικό (;), σύμβολο σχολίου (--), καθώς και κοινές λέξεις-κλειδιά SQL όπως SELECT、INSERT、DELETE、UPDATE、DROP και τα λοιπά).

public bool IsSqlInjection(string input)
{
    string[] sqlCheckList = { "SELECT", "INSERT", "UPDATE", "DELETE", "DROP", "--", ";", "'" };
    foreach (string item in sqlCheckList)
    {
        if (input.IndexOf(item, StringComparison.OrdinalIgnoreCase) >= 0)
        {
            return true;
        }
    }
    return false;
}
 
 
string userInput = txtUserInput.Text;
if (IsSqlInjection(userInput))
{
    MessageBox.Show("输入包含不安全的字符，请重新输入。");
}
else
{
    // 继续处理用户输入
    ExecuteQuery(userInput);
}

3. Χρησιμοποιήστε το πλαίσιο ORM

Η χρήση ενός πλαισίου ORM (Object Relational Mapping) όπως το Entity Framework μπορεί να μειώσει σημαντικά τον κίνδυνο εισαγωγής SQL επειδή το πλαίσιο ORM χειρίζεται αυτόματα παραμετροποιημένα ερωτήματα.

using (var context = new YourDbContext())
{
    var user = context.Users.SingleOrDefault(u => u.Username == userInput);
    if (user != null)
    {
        // Process the user data
    }
}