查询生成器是否阻止 SQL 注入？答案

【问题标题】：Does the query builder prevent SQL Injection?查询生成器是否阻止 SQL 注入？
【发布时间】：2015-06-04 19:34:31
【问题描述】：

大家好，我目前在 ASP.NET 中使用查询生成器在我在 App_Code 文件夹中创建的一些数据集上创建选择、插入、更新查询等。我已经意识到您在查询中使用参数时必须使用“？”像这样

SELECT * FROM users WHERE email = ?

我想知道的是，这是否真的可以保护您的表免受 sql 注入，或者您是否需要在代码中执行更多操作以保护查询？

【问题讨论】：

【解决方案1】：

参数化查询接受参数并将它们作为适当的 SQL 数据类型输入。所以例如创建这个过程

CREATE PROCEDURE GetStudent (IN LN VARCHAR(200))
  BEGIN
    SELECT Name FROM Students WHERE LastName = LN;
  END

并传递此值（假设这是在您的 C# 代码中。

"'Bobby'; DROP TABLE STUDENTS;"

基本上会执行这个查询

SELECT Name FROM Students WHERE LastName ='''Bobby;''DROP TABLE Students'

这是相当安全的。

当然，您必须适应您的特定应用程序需求，但一般来说，参数化查询对所有主要 RDMS 的 SQL 注入都是安全的。

【讨论】：