加固SQL参数与存储过程

时间:2012-03-12 19:44:08 

本节为读者讲解如何利用ADO.NET本身的参数对象和存储过程技术防止注入攻击,以达到用户界面输入与原始SQL的分离,使黑客无法拼接SQL语句的目的。

SQL参数与存储过程

SQL参数是开发人员很容易忽视的一个环节,通常直接完成SQL语句,然后传递给数据库执行。这样的写法固然简单,但是也为注入攻击埋下了伏笔。如果要避免注入攻击,就要对SQL语句进行专门的过滤处理,但如果直接使用SQL参数对象就可以省去以上 环节。

SQL中的Parameters集合提供了类型检查和长度验证。如果研发人员使用Parameters集合,输入将被视为文本值进行处理,SQL不会将它视为可执行代码。使用Parameters集合的另一个好处是可以实施类型和长度检查,如果值超出范围将触发异常。这是纵深防范的一个好例子。尽可能地使用存储过程,而且应该通过Parameters集合调用它们。

下面通过几行代码说明如何使用参数集合对象,读者注意@au_id参数将被当作文本值而不是可执行代码。同样,对参数将进行类型和长度检查。在下面的示例中,输入值不能长于11个字符。如果数据不遵守参数所定义的类型或者长度,将出现异常。

Parameters集合演示代码如下:

SqlDataAdapter myCommand = new SqlDataAdapter("AuthorLogin",conn);

myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;

SqlParameter parm = myCommand.SelectCommand.Parameters.Add(

"@au_id",SqlDbType.VarChar,11);

parm.Value = Login.Text;

请读者注意,使用存储过程并不一定能防止SQL注入。重要的是在存储过程中使用参数对象。如果不使用参数,存储过程使用未经筛选的输入时,就很容易遭到SQL注入攻击。例如,以下代码片段就存在问题:

SqlDataAdapter myCommand = new SqlDataAdapter("LoginStoredProcedure '" +

Login.Text + "'", conn);

正确的代码片段如下所示:

SqlDataAdapter myCommand = new SqlDataAdapter(

"SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id",conn);

SqlParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",

SqlDbType.VarChar,11);

parm.Value = Login.Text;

标签:sql,存储过程
0
投稿

猜你喜欢

  • Python中常见的加密解密算法总结

    2021-10-18 12:13:17
  • Python 从subprocess运行的子进程中实时获取输出的例子

    2023-12-24 18:31:10
  • asp清理站点缓存代码

    2008-07-21 12:37:00
  • Python制作简易注册登录系统

    2022-08-25 14:46:28
  • mysql设置更改root密码、mysql服务器的连接、mysql常用命令的图解

    2024-01-22 15:04:13
  • python和C++共享内存传输图像的示例

    2021-03-28 01:27:57
  • 禁止背景图在网页中平铺

    2011-04-29 14:10:00
  • 链接的提示及打开方式

    2008-07-29 13:09:00
  • 判断字段是否被更新 新旧数据写入Audit Log表中

    2012-01-29 17:56:33
  • vue之组件内监控$store中定义变量的变化详解

    2023-07-02 17:01:31
  • javascript阻止事件冒泡和浏览器的默认行为

    2007-12-28 13:13:00
  • MSSQL 监控数据/日志文件增长实现方法

    2024-01-22 14:05:34
  • Pytorch 如何加速Dataloader提升数据读取速度

    2023-11-12 00:00:32
  • 解决win10 vscode 无法激活python 虚拟环境的问题

    2023-10-09 04:23:25
  • Java 如何使用JDBC连接数据库

    2024-01-23 04:30:12
  • Go语言使用读写OPC详解

    2024-05-21 10:23:06
  • 详解Numpy中的广播原则/机制

    2023-11-15 02:49:44
  • pytorch sampler对数据进行采样的实现

    2023-02-09 20:05:40
  • 基于numpy中的expand_dims函数用法

    2023-02-25 23:24:20
  • Access数据库下如何使用通用对话框的问题

    2008-11-28 16:37:00
  • asp之家 网络编程 m.aspxhome.com