Compartir tecnología

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

Para verificar si los datos ingresados ​​por el usuario contienen declaraciones de ataque de inyección SQL en C# WinForms, puede utilizar una variedad de métodos para detectar y prevenir la inyección SQL. Aquí hay algunos métodos comunes:

1. Utilice consultas parametrizadas

Las consultas parametrizadas son la mejor práctica para evitar la inyección de SQL al pasar la entrada del usuario como parámetros a la consulta SQL, en lugar de incrustarla directamente en la cadena SQL. Esto garantiza que la entrada del usuario no se interprete como código SQL.

using System.Data.SqlClient;
 
public void ExecuteQuery(string userInput)
{
    string connectionString = "数据库连接字符串";
    string query = "SELECT * FROM Users WHERE Username = @Username";
 
    using (SqlConnection connection = new SqlConnection(connectionString))
    using (SqlCommand command = new SqlCommand(query, connection))
    {
        command.Parameters.AddWithValue("@Username", userInput);
 
        connection.Open();
        SqlDataReader reader = command.ExecuteReader();
        while (reader.Read())
        {
            // Process the data
        }
    }
}

2. Verifique la entrada del usuario en busca de caracteres peligrosos.

Caracteres y palabras clave comunes de inyección SQL, como comillas simples ('),Doble comillas ("), punto y coma (;), símbolo de comentario (--), así como palabras clave SQL comunes como SELECT、INSERT、DELETE、UPDATE、DROP etc).

public bool IsSqlInjection(string input)
{
    string[] sqlCheckList = { "SELECT", "INSERT", "UPDATE", "DELETE", "DROP", "--", ";", "'" };
    foreach (string item in sqlCheckList)
    {
        if (input.IndexOf(item, StringComparison.OrdinalIgnoreCase) >= 0)
        {
            return true;
        }
    }
    return false;
}
 
 
string userInput = txtUserInput.Text;
if (IsSqlInjection(userInput))
{
    MessageBox.Show("输入包含不安全的字符，请重新输入。");
}
else
{
    // 继续处理用户输入
    ExecuteQuery(userInput);
}

3. Utilice el marco ORM

El uso de un marco ORM (Mapeo relacional de objetos) como Entity Framework puede reducir en gran medida el riesgo de inyección SQL porque el marco ORM maneja automáticamente consultas parametrizadas.

using (var context = new YourDbContext())
{
    var user = context.Users.SingleOrDefault(u => u.Username == userInput);
    if (user != null)
    {
        // Process the user data
    }
}